Sombrero negro, blanco y gris: quiénes son de verdad los hackers

En el lenguaje corriente, un hacker es alguien que se cuela en ordenadores. En el mundo de la seguridad la palabra es más antigua y más amplia: un hacker es alguien que entiende un sistema lo bastante bien como para hacer que haga cosas que sus diseñadores no esperaban. Si esa habilidad se usa para proteger a la gente o para hacerle daño es otra cuestión. El sector la resume con una imagen de los viejos westerns, donde los buenos llevaban sombrero blanco y los villanos, sombrero negro.

Tres sombreros

La única prueba que separa el blanco del negro y del gris es la autorización. Un auditor de intrusión y un delincuente pueden usar las mismas herramientas y técnicas. Lo que convierte a uno en profesional y al otro en infractor es un permiso por escrito, acordado de antemano, que define qué se puede probar y cómo.

Los sombreros negros: una industria, no un genio solitario

El solitario con capucha de las fotos de archivo es en gran parte un mito. El hacking delictivo serio se organiza hoy como un negocio. Algunos grupos escriben software malicioso y lo alquilan; otros se especializan en conseguir un primer acceso a redes y venderlo; otros se ocupan de las negociaciones y del blanqueo de dinero. Bandas de ransomware, operadores de infostealers y redes de fraude se intercambian servicios en foros delictivos. Entenderlo ayuda a explicar por qué los ataques son tan persistentes: para quienes están detrás, es un trabajo.

Los sombreros blancos: cómo funciona la investigación legítima

• Pruebas de intrusión: una empresa contrata a expertos para atacar sus propios sistemas bajo un acuerdo firmado y luego corrige lo que encuentran.
• Programas de bug bounty: las empresas publican unas reglas y un alcance, invitan a investigadores a buscar fallos y pagan recompensas por los informes válidos. Muchos funcionan a través de plataformas como HackerOne y Bugcrowd, y Apple gestiona su propio Apple Security Bounty.
• Divulgación coordinada de vulnerabilidades: quien encuentra un fallo lo comunica en privado al fabricante, le da tiempo para corregirlo y publica los detalles solo cuando los usuarios pueden protegerse. La CISA coordina divulgaciones cuando es difícil contactar con un fabricante.
• Defensa: equipos de seguridad, respuesta a incidentes y quienes escriben herramientas de seguridad.

Los sombreros grises: buenas intenciones, riesgo legal real

Los sombreros grises suelen verse como los buenos: encontraron un fallo, entraron para demostrarlo y se lo dijeron al propietario. El problema es que la mayoría de las leyes sobre delitos informáticos se centran en el acceso no autorizado, no en la intención. En EE. UU., la Computer Fraud and Abuse Act castiga el acceso no autorizado; en el Reino Unido, la Computer Misuse Act hace lo mismo, y hay leyes parecidas en toda Europa (en España, el artículo 197 bis del Código Penal) y en otros lugares. Algunos fiscales se han vuelto más prudentes: en 2022 el Departamento de Justicia de EE. UU. anunció una política según la cual la investigación de seguridad de buena fe no debería perseguirse con la Computer Fraud and Abuse Act. Pero esa política solo orienta a los fiscales federales; no cambia la ley, no obliga a otros países y no impide que una empresa demande.

Aprender hacking de forma legal

La curiosidad por cómo fallan los sistemas es el origen de la mayoría de los profesionales de la seguridad, y hay muchos sitios donde saciarla sin saltarse la ley. Las competiciones Capture the Flag (CTF) proponen retos deliberadamente vulnerables para resolver solo o en equipo. Las plataformas de práctica y los laboratorios de formación ofrecen máquinas hechas para ser atacadas, con reglas claras. También puedes montar un pequeño laboratorio en casa con ordenadores viejos o máquinas virtuales que sean tuyos. El hilo conductor es sencillo: solo pruebas sistemas que son tuyos o que alguien con autoridad para ello te ha permitido probar de forma explícita y por escrito. Ese hábito, practicado desde el primer día, es también justo lo que buscan las empresas y los programas de bug bounty.

Otros sombreros de los que oirás hablar

• Hacktivistas: atacantes movidos por una causa política o social.
• Grupos patrocinados por Estados: hackers que trabajan para o con un gobierno, a menudo centrados en el espionaje o el sabotaje.
• Script kiddies: atacantes sin experiencia que usan herramientas hechas que no entienden del todo. Menos hábiles, pero capaces de causar daños reales.
• Personal interno: empleados o proveedores que abusan del acceso que tienen legítimamente.

Por qué esto importa a la gente corriente

Saber quién está al otro lado ayuda a valorar el riesgo. A la mayoría de la gente no la atacan grupos estatales; se topa con la delincuencia organizada de los sombreros negros a través del phishing, los infostealers y el ransomware, que son oportunistas y van a por quien pique. El trabajo de los sombreros blancos, por su parte, es la razón por la que tus apps reciben actualizaciones de seguridad: muchos de los fallos corregidos en una actualización los encontraron investigadores que los comunicaron de forma responsable. Instalar las actualizaciones enseguida es cómo aprovechas su trabajo. Herramientas como FireAI están del lado de los sombreros blancos: te muestran lo que hace el software de tu ordenador, en tu propio equipo y con tu consentimiento.