¿Qué es un sombrero gris?

La ley tiende a ser muy blanca y negra cuando se trata de la legalidad de cosas como la piratería. O algo es – o no es – un crimen. La ética, sin embargo, puede ser mucho más matizada. Si bien la ética de algo puede tenerse en cuenta en un entorno penal, ya sea con la falta de cumplimiento o con sentencias más suaves, esto no está garantizado de ninguna manera.

El término hacker de sombrero gris se refiere a los piratas informáticos que caminan por la cuerda floja. A menudo sus acciones son ilegales, pero tienen alguna justificación o marco ético. Técnicamente, también cubre a aquellos que actúan legalmente pero sin ética. Ese grupo, sin embargo, es mucho más pequeño que el primero.

El problema con los piratas informáticos de sombrero negro es que victimizan a personas inocentes, simplemente haciendo sus vidas. No importa si eres un hospital con pacientes cuyas vidas penden de un hilo, si eres una infraestructura nacional crítica, una instalación nuclear o eres responsable de las pensiones de millones de personas. Cualquiera es aceptable como víctima para ellos porque su objetivo es, por lo general, beneficiarse a sí mismos.

El modus operandi de los hackers de sombrero gris varía, pero a menudo usan actos ilegales mientras intentan minimizar el daño que causan sus acciones. Esto generalmente toma la forma de actuar como un sombrero blanco , identificando vulnerabilidades y divulgándolas de manera responsable, pero haciéndolo críticamente sin permiso.

Motivaciones

Un hacker de sombrero gris suele estar motivado de manera similar a un hacker de sombrero blanco. Quieren divulgar problemas para mejorar la seguridad del usuario de manera responsable. Generalmente, sin embargo, encuentran el sistema legal demasiado restrictivo y actúan sin permiso. En varios casos, esto se hace porque no hubo acción cuando se siguió el procedimiento adecuado o porque estaban pirateando por diversión.

Muchos de los primeros piratas informáticos estaban motivados por tratar de ver qué se podía hacer. En muchos casos, estos piratas informáticos no hicieron nada malicioso. Técnicamente, mirarían los datos, pero no había mercados negros en los que venderlos. Era una práctica estándar para estos piratas informáticos "plantar una bandera", lo que indica que habían estado allí y luego se detenían y seguían adelante. A menudo, la bandera sería algo simple como un archivo de texto que dice "X estuvo aquí". Esto ciertamente sería ilegal en los tiempos modernos, pero las leyes aplicables no existían entonces. Estos piratas informáticos generalmente lo hacían por diversión y, en general, no causaban mucho daño. Como tales, podrían llamarse sombreros grises, aunque también podrían llamarse sombreros negros.

A veces, cuando un hacker ético intenta informar una vulnerabilidad de seguridad con la que se ha topado, se encuentra con el silencio, el rechazo o la incredulidad. Esto deja al hacker ético en un dilema. ¿Mantienes todo en secreto y esperas que ningún hacker de sombrero negro se dé cuenta de la falla, o publicas los detalles para permitir que las víctimas potenciales opten por no usar el sistema inseguro y al mismo tiempo informar a los de sombrero negro sobre el problema? Es una elección difícil y éticamente desafiante.

Ejemplos del mundo real

En 2013, Khalil Shreateh, investigador de seguridad, descubrió una vulnerabilidad que permitía a un usuario de Facebook publicar como otro usuario. Había intentado revelar el problema adecuadamente a través del programa de recompensas por errores de Facebook. El problema, sin embargo, fue rechazado como "no un error". Frustrado y consciente del uso potencial de tal problema para los sombreros negros, optó por explotar este problema de una manera muy notoria.

Al afectar la página de Facebook de Mark Zuckerberg, limitó las consecuencias de sus acciones al tiempo que indicó claramente qué tan problemática era la vulnerabilidad. Facebook solucionó rápidamente el problema. No pagó ninguna recompensa por errores, ya que Khalil había excedido las restricciones del programa. Tampoco intentó presentar cargos. Este es un excelente ejemplo del hacker que decide que el fin justifica los medios, aunque los medios sean ilegales.

En el año 2000, dos piratas informáticos, "{}" y "Hardbeat", piratearon el sitio web del servidor web Apache. Si fueran sombreros negros, podrían haber configurado silenciosamente descargas maliciosas en lugar de las legítimas. Cualquier usuario que tuviera la mala suerte de instalar el servidor web antes de que se descubriera el ataque se habría visto afectado. En cambio, "solo" desfiguraron el sitio web, intercambiando algunas imágenes. Las acciones no dañaron a ningún usuario y llevaron a un diálogo directo, lo que resultó en la solución del problema. Nuevamente, las acciones fueron ilegales, pero en manos de otra persona, la situación podría haber sido mucho peor.

Elegir a una víctima "merecedora"

En algunos casos, los hackers de sombrero gris se dirigen activamente a los grupos a los que se oponen. A menudo, estas objeciones son poderosas y respetadas por la sociedad en general. No se trata solo de grupos políticos con los que no está de acuerdo. Suele ser cosas como grupos que apoyan el terrorismo, regímenes represivos, organizaciones criminales o redes de pedófilos. Nuevamente, todas estas acciones son ilegales, pero el sombrero gris elige sus objetivos en función de un marco moral que suele ser socialmente aceptable. Esperan que sus esfuerzos ayuden a proteger a las personas.

Un sombrero gris que funciona bajo este principio también puede considerarse una especie de figura de Robin Hood. Incluso pueden tomar esta comparación muy literalmente, robar dinero de las víctimas "merecedoras" elegidas y luego dárselo a una buena causa definida por ellos mismos. Todo este concepto es muy subjetivo. Algunas personas pueden estar de acuerdo en que las acciones, aunque ilegales, son éticas, mientras que otras no.

Conclusión

Un hacker de sombrero gris es un hacker cuyas acciones y motivaciones se encuentran en algún lugar entre un hacker de sombrero negro y un hacker de sombrero blanco. Por lo general, operan bajo el principio de que el fin justifica los medios. Resuelven las vulnerabilidades de seguridad, pero normalmente infringen la ley en el proceso de hacerlo. Esta acción los diferencia de los sombreros blancos.

El cuidado de minimizar las consecuencias para las víctimas o, en algunos casos, de elegir víctimas "merecedoras", los separa de los sombreros negros. Es esencial entender que a pesar de que las acciones de un sombrero gris son éticamente justificables, al menos hasta cierto punto, muchas jurisdicciones no considerarán esto cuando las acciones lleguen a juicio.