灰色の帽子

グレーハット（greyhatまたはgray hat）は、法律や一般的な倫理基準に違反することもあるが、通常はブラックハットハッカーのような悪意を持たないコンピューターハッカーまたはコンピューターセキュリティの専門家です。

この用語は1990年代後半に使用され始め、「ホワイトハット」ハッカーと「ブラックハット」ハッカーの概念から派生しました。 ^[1]ホワイトハットハッカーは脆弱性を発見すると、許可を得た上でのみ脆弱性を利用し、修正されるまでその存在を明かしません。一方、ブラックハットハッカーはそれを違法に利用したり、他の人にその方法を教えたりします。グレーハットハッカーはそれを違法に利用したり、他の人にその方法を教えたりしません。^[2]

これらのタイプのハッカーのさらなる違いは、脆弱性を発見する方法にあります。ホワイトハットは、ハッカーに対する安全性を判断する目的で、雇用主の要請または明示的な許可を得てシステムやネットワークに侵入しますが、ブラックハットは個人的な利益のために機密情報を暴くためにあらゆるシステムやネットワークに侵入します。グレーハットは一般的にホワイトハットのスキルと意図を持っていますが、許可なくあらゆるシステムやネットワークに侵入する可能性があります。^{[3] [4]}

グレーハットハッカーの1つの定義によると、脆弱性を発見した際に、ベンダーにエクスプロイトの仕組みを伝える代わりに、少額の料金で修復を申し出る場合があります。システムやネットワークに不正アクセスした場合、システム管理者に友人を雇って問題を解決するよう提案する場合があります。ただし、企業が訴訟を起こす傾向が高まっているため、この慣行は減少しています。グレーハットの別の定義では、グレーハットハッカーはセキュリティを研究し改善するために法律に違反するだけであり、合法性は参加するハッキングの特定の影響に応じて決定されるとされています。^[5]

検索エンジン最適化（SEO）コミュニティでは、グレーハットハッカーとは、不適切または非倫理的な手段を使用してウェブサイトの検索エンジンランキングを操作するが、検索エンジンスパムとは見なされない人々のことを指します。^[6]

2021年の研究では、職場でハッキングに参加する個人の心理的特徴が調査されました。調査結果によると、グレーハットハッカーは一般的に権威に反抗し、ブラックハットハッカーはスリルを求める傾向が強く、ホワイトハットハッカーはナルシシズム的な特徴を示すことが多いことがわかりました。^[7]

グレーハットという語句がコンピュータセキュリティの文脈で初めて公に使われたのは、1996年にDEF CONが最初のブラックハットブリーフィングの予定を発表したときだったが、それ以前にも小規模なグループによって使われていた可能性がある。^{[1] [8]さらに、この会議では、ハッキンググループ}L0pht の主要メンバーであるMudgeが、グレーハットハッカーとして、Microsoftのオペレーティングシステムの膨大な数のユーザーを保護するために脆弱性を発見し、Microsoftに提供するという彼らの意図についてプレゼンテーションを行った。^[9]最後に、MicrosoftのサーバーグループのディレクターであるMike Nashは、グレーハットハッカーは独立系ソフトウェア業界の技術者とよく似ており、「彼らは、製品をより良くするためのフィードバックを提供してくれる貴重な存在である」と述べた。^[10]

グレーハットという言葉は、1999年にニューヨークタイムズ紙^[11]のインタビューでハッカー集団L0phtが自分たちのハッキング活動を説明するために使用しました。

このフレーズは、ホワイトハットコミュニティで一般的であった、脆弱性をグループ外に開示しないという完全な開示慣行とは対照的に、ソフトウェアベンダーに直接脆弱性を報告する倫理的な方法を支持するハッカーを表すために使用されました。^[2]

しかし、2002年に反セキュリティコミュニティは、昼間はセキュリティ業界で働き、夜はブラックハット活動に従事する人々を指すためにこの用語を使用することを発表しました。^[12]皮肉なことに、ブラックハットにとってこの解釈は軽蔑的な用語と見なされましたが、ホワイトハットの間では、それは一般的な悪名を与える用語でした。

完全開示対反セキュリティの「黄金時代」の勃興と衰退、そしてその後の「倫理的ハッキング」哲学の成長に続いて、グレーハットという用語は、あらゆる種類の多様な意味を帯びるようになった。ドミトリー・スクリャロフが母国では合法的な活動で米国で起訴されたことで、多くのセキュリティ研究者の態度が変わった。インターネットがより重要な機能に使用されるようになり、テロに対する懸念が高まるにつれて、「ホワイトハット」という用語は、完全開示を支持しない企業のセキュリティ専門家を指すようになった。^[13]

2008年、EFFは、セキュリティの研究と改善のために、意図せずまたは疑いなく法律に違反する倫理的なセキュリティ研究者をグレーハットと定義しました。彼らは、より明確でより厳密に定義されたコンピュータ犯罪法を主張しています。^[14]

2000年4月、「{}」と「Hardbeat」として知られるハッカーがApache.orgに不正アクセスしました。^[15]彼らはApache.orgサーバーに損害を与えるのではなく、Apacheチームに問題を警告することを選択しました。^[16]

2010年6月、 Goatse Securityとして知られるコンピュータ専門家のグループが、iPadユーザーの電子メールアドレスが漏洩する可能性のあるAT&Tのセキュリティ上の欠陥を暴露した。 ^[17]このグループはAT&Tに通知した後すぐにメディアにセキュリティ上の欠陥を明らかにした。それ以来、FBIはこの事件の捜査を開始し、新しいグループの最も著名なメンバーであるweevの家を捜索した。^[18]

2011年4月、専門家グループがAppleのiPhoneと3G iPadが「ユーザーが訪問した場所を記録している」ことを発見した。Appleは声明を発表し、iPadとiPhoneは電話がアクセスできる基地局のみを記録していると述べた。^[19]この件については多数の記事が書かれており、これは小さなセキュリティ問題とみなされている。この事例は「グレーハット」に分類される。なぜなら、専門家はこれを悪意を持って利用できたにもかかわらず、この問題は報告されたからである。^[20]

2013年8月、失業中のコンピューターセキュリティ研究者カリル・シュリーテは、マーク・ザッカーバーグのフェイスブックページをハッキングし、彼が発見したバグを修正するよう強制した。バグは、ユーザーの同意なしにそのページに投稿できることを可能にしていた。彼は何度もフェイスブックにこのバグを報告しようとしたが、フェイスブックからはバグではないと言われた。この事件の後、フェイスブックはこの脆弱性を修正したが、プロのスパマーにとっては強力な武器になりかねなかった。シュリーテはフェイスブックのホワイトハットプログラムのポリシーに違反したため、この事件はグレーハット事件となった。^[21]

• アノニマス（ハッカーグループ）
• サイバー犯罪
• サイバー戦争
• ハクティビズム
• ITリスク
• メタスプロイト
• いたずら
• 侵入テスト

• AE (2014)。Grey Hat SEO 2014: ウェブ開発者 10 名による最も効果的で安全なテクニック。最速のペナルティ回復を含む上位ランクを獲得するための秘訣。Research & Co. ASIN  B0C83N8B8B。
• アーチャー・エッサー（2023年）。『Grey Hat SEO Unveiled』 。Make It Work Publishing。ISBN 9798398304732。