Grey hat hacker
Un grey hat hacker busca fallos en sistemas ajenos sin permiso, pero sin ánimo de lucro ni de daño, y por lo general avisa al dueño cuando los encuentra. Lo que lo separa de un profesional no es la técnica ni la intención: es que detrás no hay ninguna autorización por escrito.
Qué es un grey hat
En ciberseguridad se llama grey hat, o hacker de sombrero gris, al que busca vulnerabilidades en sistemas que no son suyos y para los que nadie le ha dado permiso, pero que no lo hace para robar ni para destruir. Cuando encuentra algo, lo habitual es que avise al dueño.
El nombre viene de que se queda entre los otros dos sombreros: no actúa con la intención de un atacante criminal ni con el encargo de un profesional contratado. Y esa posición intermedia es de intención, no de método: las herramientas y los pasos son los mismos que usaría cualquiera de los otros dos.
Por eso la clasificación depende del contexto y no del perfil de la persona. El mismo hacker puede ser white hat el martes, con un contrato firmado, y grey hat el sábado, mirando por curiosidad un sistema que no le han encargado.
Lo importante para una empresa no es la etiqueta, sino qué hacer cuando aparece uno. Que alguien te escriba diciendo que ha encontrado un fallo en tu web es una situación que ocurre, y la mayoría de las organizaciones no tiene decidido de antemano quién responde.
Los tres sombreros
| White hat | Grey hat | Black hat | |
|---|---|---|---|
| Autorización | Previa y por escrito | Ninguna | Ninguna |
| Intención | Mejorar la seguridad del cliente | Mejorar la seguridad de alguien que no se lo ha pedido | Beneficio propio o daño |
| Qué hace al encontrar el fallo | Lo informa por el canal acordado | Suele avisar, a veces en público | Lo explota o lo vende |
| Alcance | Definido y limitado | El que él decide | El que consiga |
| Situación legal | Cubierta por el contrato | Expuesta, aunque no haya daño | Delictiva |
| Qué recibe la empresa | Un informe reproducible y una remediación acordada | Un aviso de calidad variable y sin garantía de silencio | Un incidente |
La fila que decide todo es la primera. La autorización previa no es un trámite: es lo que convierte exactamente la misma actividad técnica en un servicio o en un delito. Un pentesting y una intrusión no autorizada pueden parecerse mucho en el registro del servidor; se distinguen por un documento.
Y la última fila es la que más se ignora al comparar. Un grey hat te da una noticia; un profesional te da un hallazgo reproducible, su alcance, su severidad y una vía de remediación, y se compromete a no contarlo.
Divulgación responsable: lo que un grey hat suele hacer bien
La práctica que da nombre a la parte buena de esta figura es la divulgación responsable: quien encuentra el fallo avisa primero al titular del sistema, le da un plazo para arreglarlo y solo después lo cuenta en público, si es que lo cuenta.
Es una convención, no una obligación, y ahí está la incomodidad para la empresa que recibe el aviso: el plazo lo fija quien avisa. Una organización que tarda meses en contestar acaba enterándose del fallo a la vez que todo el mundo.
La respuesta madura a esto es tener un canal publicado para recibir avisos de seguridad y un compromiso de respuesta. No cuesta dinero, y convierte un aviso incómodo en un proceso: quien avisa sabe a dónde escribir, y la empresa sabe quién contesta.
Los programas de recompensas por vulnerabilidades son la versión con presupuesto de lo mismo. Añaden un permiso explícito y unas reglas del juego, y con eso el hacker que participa deja de ser un grey hat: pasa a estar autorizado.
Por qué la buena intención no es una autorización
Acceder a un sistema informático ajeno sin permiso está tipificado como delito, y lo que el que entra haga después no cambia esa parte. Avisar al dueño puede pesar mucho en cómo acaba el asunto, pero no borra el acceso.
Además hay un problema práctico que no es legal. Un grey hat prueba sobre el sistema en producción, sin ventana acordada, sin nadie avisado y sin nadie mirando. Si algo se cae, se cae de verdad, y el equipo que responde no sabe si está atendiendo una prueba o una intrusión.
Para la empresa esto se traduce en algo concreto: no se puede distinguir a un grey hat de un atacante mientras está ocurriendo. Lo que ve el equipo de detección es la misma actividad, y por eso el aviso siempre llega después del susto.
La versión profesional de esta actividad existe justamente para quitar esas dos cosas de en medio. Un pentesting web o un pentesting externo se hacen con alcance acordado, ventana pactada, interlocutor identificado y un compromiso de confidencialidad.
Un ejemplo
Un hacker encuentra por su cuenta un fallo en el software de una empresa que permitiría acceder a datos de clientes.
En lugar de aprovecharlo, escribe a la empresa de forma anónima explicando el problema y cómo corregirlo.
La empresa recibe el correo en una dirección genérica. Nadie tiene asignado responder a eso, así que el mensaje pasa varias semanas circulando entre departamentos mientras el fallo sigue abierto.
El resultado es el peor de los dos mundos: la organización ya no puede decir que no lo sabía, el fallo sigue ahí, y quien avisó no tiene ningún motivo para seguir callado. Todo eso se evita con un canal de contacto de seguridad publicado y un dueño asignado.
Errores frecuentes de la empresa que recibe el aviso
Contestar con el departamento jurídico antes que con el técnico. Amenazar a quien avisa es la forma más rápida de convertir un aviso privado en una publicación, y no arregla el fallo.
No tener a dónde escribir. Sin una dirección de seguridad publicada, el aviso entra por comercial, por soporte o por LinkedIn, y se pierde. Es el fallo más barato de corregir de toda esta lista.
Arreglar el caso concreto y no la clase. Un grey hat te enseña un ejemplo, casi nunca el alcance. Si te reporta un identificador que se puede manipular, la pregunta no es si ese está arreglado, sino cuántos sitios más de la aplicación tienen el mismo patrón.
Confundir un aviso con una auditoría. Un correo con una captura no dice qué otra cosa está expuesta. Saber cuál es tu superficie de ataque completa es otro trabajo, y es el que sí se puede encargar.
Qué hacer si un grey hat te avisa
Acusa recibo el mismo día, aunque no tengas todavía nada que decir. La mayoría de los conflictos de este tipo empiezan por el silencio y no por el desacuerdo.
Reproduce el fallo antes de discutirlo, y hazlo en un entorno donde puedas mirar. Un aviso sin pasos reproducibles no es accionable, y pedirlos educadamente es una petición razonable.
Trátalo como un incidente hasta que sepas que no lo es. Si el fallo permitía acceder a datos, la pregunta importante no es quién avisó, sino si alguien más lo usó antes: eso es respuesta a incidentes y se mira en los registros.
Y después cierra la clase entera, no el caso. Es el momento natural para medir la exposición real de esa aplicación con un alcance definido, que es lo que un aviso suelto nunca te va a dar.
Preguntas frecuentes
¿Un grey hat es un hacker bueno o malo? La pregunta no se puede contestar con la etiqueta. Actúa sin permiso, que es el rasgo del malo, y avisa en vez de aprovecharse, que es el del bueno. Por eso el nombre es gris.
¿Puedo contratar a un grey hat? En cuanto lo contratas deja de serlo. Lo que estás contratando es un hacker con un contrato, un alcance y un compromiso de confidencialidad, que es exactamente la definición de white hat.
¿Qué diferencia hay entre esto y un Red Team? Un ejercicio de Red Team simula un adversario real de principio a fin, incluida la parte de no avisar a los defensores, pero con la dirección de la empresa autorizándolo por escrito y sabiendo cuándo empieza y cuándo termina.
¿Se escribe grey hat o gray hat? Las dos formas circulan; grey es la ortografía británica y es la que usa esta web. En español se ve también hacker de sombrero gris, aunque casi todo el sector escribe el término en inglés.