Hackers cumple años: todo mal, y aun así acertó en cuatro cosas

Hoy, 15 de septiembre, cumple años Hackers. Se estrenó el 15 de septiembre de 1995, dirigida por Iain Softley, con Jonny Lee Miller y Angelina Jolie. Costó unos 20 millones de dólares y recaudó alrededor de 7,5. Un fracaso comercial ordenado que después se convirtió en película de culto.

Es, con diferencia, la película que peor ha representado nunca lo que es usar un ordenador. Volar por una ciudad tridimensional hecha de rascacielos que son ficheros. Teclear a doscientas pulsaciones por minuto mientras la pantalla escupe columnas de colores. Patines, gafas de sol y música de discoteca.

Y aun así, debajo de todo eso, hay cuatro cosas que la película acierta de pleno. Son las que nadie recuerda.

Cartel de Hackers (United Artists, 1995), reproducido a título de cita. Derechos de sus titulares.

Acierto 1: el ataque que funciona es una llamada de teléfono

La intrusión clave de la película no la hace un programa. La hace un chaval llamando por teléfono a un vigilante de seguridad del edificio, presentándose como alguien de la empresa que tiene un problema urgente y pidiéndole con mucha educación que le lea un número.

El vigilante se lo lee. Por supuesto que se lo lee: le están pidiendo ayuda, hay prisa, y colaborar es lo correcto.

Eso es exactamente cómo funciona. En 1995 y en 2026. El eslabón que cede casi nunca es el criptográfico: es el que quiere ser útil. Y no cede por tonto, cede porque el ataque está diseñado para explotar una virtud, no un defecto.

Hoy la misma llamada llega mejor producida. Un correo perfecto en el tono de tu jefe. Una videollamada con una cara y una voz que reconoces. La técnica es la de 1995; lo que ha bajado es el coste de hacerla creíble.

Acierto 2: rebuscar en la basura

Hay una escena en la que los protagonistas bucean en los contenedores de la empresa buscando listados impresos, notas y manuales.

Eso tiene nombre en el oficio —dumpster diving— y sigue siendo productivo treinta años después. Ahora es más raro encontrar un listado de contraseñas en papel, pero el equivalente moderno está por todas partes:

• El repositorio público donde el fichero de configuración con credenciales sigue en el historial de Git, aunque se borrara del código hace dos años.
• El bucket de copias de seguridad sin autenticación que alguien montó «solo para la migración».
• El portátil que se retiró sin borrar el disco.
• Los documentos compartidos «con cualquiera que tenga el enlace», enlazados desde un correo que se reenvió cuatro veces.

Nadie va a rebuscar en tu basura física. Van a rebuscar en la digital, que además está ordenada, indexada y disponible las veinticuatro horas.

Acierto 3: las cuatro contraseñas

Uno de los personajes recita las contraseñas más comunes que la gente usa: amor, secreto, sexo y dios.

No se lo inventaron para la película: es una observación que ya circulaba en la literatura de seguridad de la época. Treinta años después esas cuatro siguen siendo ejemplos perfectos de contraseña previsible, aunque las listas de credenciales filtradas de hoy las encabezan más bien las secuencias numéricas, los recorridos de teclado, los nombres propios y el año en curso. Cambia el catálogo; no cambia el problema de fondo, que es elegir algo fácil de adivinar.

Ya dediqué un artículo entero a por qué la contraseña cómoda es una invitación, así que aquí solo dejo el dato que hace pensar: el problema no ha cambiado en tres décadas de campañas de concienciación. Eso debería decirnos algo sobre la eficacia de concienciar frente a la de cambiar el sistema para que no haga falta.

Acierto 4: el villano es de la casa

Y este es el mejor, porque va contra todo el imaginario del género.

El antagonista de Hackers no es un adolescente ni una potencia extranjera. Es el responsable de seguridad informática de la propia empresa, que ha montado un desfalco y usa un gusano para taparlo, culpando de paso a unos críos.

Es decir: la película que peor representa la tecnología es una de las pocas que representa bien el riesgo. La persona con acceso legítimo, conocimiento del sistema y motivo para que nadie mire donde no debe.

No hace falta que sea un desfalco. En la práctica, la versión habitual es mucho más gris:

• El administrador único que es el único que sabe cómo está montado aquello, y al que nadie revisa porque nadie entiende lo que hace.
• El proveedor con acceso permanente concedido en 2019 para una migración que terminó en 2019.
• El empleado que se va y conserva el acceso al repositorio, al panel de facturación y al grupo de administradores.
• La cuenta de servicio con permisos totales que usan cuatro personas y de la que nadie es responsable.

Ninguno de esos casos requiere mala fe para acabar mal. Solo requiere que nadie mire. Es la otra cara de la falsa sensación de seguridad: el riesgo que no se ve porque tiene credencial válida.

Lo que envejeció fatal, por justicia

• La representación visual: no, no se navega por un sistema de ficheros volando entre rascacielos.
• El ritmo: nada de lo que se hace de verdad en seguridad se parece a teclear muy rápido con cara de concentración.
• Y una particularidad de la época: en aquella película el villano tiene claro que va a ser descubierto. En 2026, el objetivo del atacante suele ser precisamente no ser descubierto nunca. La media de tiempo entre una intrusión y su detección se sigue midiendo en semanas o meses, no en escenas.

Feliz aniversario

Tres cosas para hoy:

1. Prueba la llamada, pero hazlo bien. Una simulación telefónica dentro de tu organización enseña más que cualquier curso, y también es la forma más rápida de meterte en un lío si la improvisas. Cuatro requisitos, que no son recomendaciones: autorización previa y por escrito de quien pueda darla; alcance definido —a quién se llama, qué se pide y cuándo—; nada de recoger credenciales reales, basta con anotar que la persona iba a darlas; y todo ello dentro de una prueba coordinada, con alguien al tanto por si se tuerce. Sin esas cuatro cosas no es un ejercicio: es un incidente que has provocado tú.
2. Busca en tu basura digital. Historial de Git, buckets públicos, documentos compartidos con enlace abierto. Media hora.
3. Haz la lista de quién tiene acceso privilegiado y no es revisado por nadie. Si el nombre que aparece es el tuyo, ese es justamente el motivo por el que hay que revisarlo.

(Y sí, «hackea el planeta» sigue siendo una frase espantosa. Pero si alguna vez montas un equipo de respuesta a incidentes, admite que el nombre del grupo va a ser peor.)