Tipos de hackers: White Hat, Black Hat, Grey Hat, Red Team, Blue Team y más [2026]

Buscar “tipos de hackers” mezcla con frecuencia conceptos que pertenecen a niveles distintos. Un White Hat es una etiqueta informal sobre actuación autorizada; un hacktivista describe sobre todo una motivación; un insider parte de una relación de acceso o conocimiento con la organización; y un Red Team es una función organizada dentro de un ejercicio de seguridad. Si se colocan todos en la misma lista sin contexto, el resultado parece sencillo, pero enseña una taxonomía que en realidad no existe.

La pregunta propietaria de esta guía es, por tanto: ¿qué significa cada etiqueta, qué dimensión describe y qué términos tienen una definición operativa más sólida? Para elegir una especialización profesional, esta página deriva hacia la guía de ramas de ciberseguridad; para comparar funciones ofensivas y defensivas, hacia Red Team vs Blue Team.

Respuesta rápida: principales tipos de hackers y equipos #

La forma más útil de leer los términos es preguntar primero qué dimensión describen. La siguiente tabla no pretende crear un estándar: resume el uso habitual y señala dónde existe una definición operativa más formal.

Hacker no significa automáticamente ciberdelincuente #

Hacker es una palabra histórica y polisémica. Puede describir a una persona que explora sistemas con profundidad técnica, a un investigador de seguridad, a un desarrollador creativo o, en medios generalistas, a un atacante. Por eso, usarla como sinónimo jurídico de “ciberdelincuente” genera confusión.

Dos personas pueden conocer las mismas técnicas y herramientas y estar realizando actividades completamente diferentes. La evaluación debe separar al menos autorización, alcance, conducta, intención y efectos. Ninguna herramienta convierte por sí sola a alguien en profesional, investigador o delincuente.

La autorización legal previa importa más que la intención declarada #

En seguridad ofensiva profesional, la autorización debe existir antes de ejecutar pruebas sobre sistemas ajenos y debe cubrir los activos y técnicas que realmente se van a utilizar. “Quería ayudar” no crea por sí solo un permiso.

En España, el artículo 197 bis del Código Penal sanciona determinadas conductas de acceso a sistemas o interceptación de transmisiones cuando se realizan sin estar debidamente autorizado, bajo los elementos que establece el propio precepto. En otros países cambian las leyes, excepciones, requisitos y mecanismos de divulgación. Por eso esta guía no convierte “White/Grey/Black Hat” en categorías legales universales.

1. White Hat: el hacker ético y profesional de seguridad #

White Hat es una etiqueta informal para describir a quien utiliza conocimientos de seguridad con autorización y un objetivo legítimo de protección, evaluación o investigación. Es útil como lenguaje introductorio, pero no equivale a un puesto laboral concreto.

Un pentester, un investigador dentro de un programa de bug bounty, un especialista AppSec o un operador de Red Team pueden encajar coloquialmente bajo “White Hat” cuando actúan dentro del permiso aplicable. Sin embargo, sus responsabilidades, metodología, evidencia y entregables son diferentes.

Si tu interés es el trabajo de auditoría técnica, la URL propietaria es cómo ser pentester; allí se desarrolla la ruta profesional sin convertir “White Hat” en una profesión.

2. Black Hat: actor malicioso y atacante ilícito #

Black Hat es otra etiqueta informal, normalmente aplicada a actividad maliciosa o no autorizada: intrusión, fraude, robo de información, extorsión, sabotaje u otras conductas dañinas. No indica nivel técnico, estructura del grupo ni motivación concreta.

En inteligencia de amenazas suele ser más útil clasificar por actor, objetivo, motivación, recursos, TTPs y evidencia que por “color de sombrero”. Dos actores maliciosos pueden compartir técnicas y, aun así, pertenecer a ecosistemas completamente distintos.

3. Grey Hat: una etiqueta ambigua, no un permiso intermedio #

Grey Hat suele utilizarse para describir a quien investiga sistemas fuera de una autorización previa y después alega una finalidad no destructiva, por ejemplo reportar un fallo. El problema es que el término mezcla ética percibida con situación jurídica.

No existe un “permiso gris” universal. Un programa de bug bounty, una política de divulgación o un acuerdo privado pueden autorizar actividades específicas, pero sus condiciones, activos en alcance y safe harbor deben leerse de forma literal. Salirse del alcance puede cambiar por completo el análisis.

4. Script Kiddie: una etiqueta coloquial sobre dependencia de herramientas #

Script Kiddie es un término coloquial y a menudo despectivo para referirse a alguien que ejecuta herramientas o código ajeno con poca comprensión de lo que ocurre. No es un nivel profesional, una certificación ni una categoría de amenaza estandarizada.

Además, usar automatización no demuestra falta de conocimientos: los profesionales automatizan constantemente. La diferencia relevante es si la persona puede explicar el protocolo, validar resultados, reconocer falsos positivos, controlar el impacto y documentar lo observado.

HERRAMIENTA → EVIDENCIA → INTERPRETACIÓN → VALIDACIÓN → DECISIÓN

5. Hacktivista: la motivación ideológica no define una técnica única #

En threat intelligence, hacktivista describe habitualmente a actores cuyas operaciones están impulsadas por objetivos ideológicos, políticos o sociales. ENISA Threat Landscape 2025 trata el hacktivismo como una categoría de actor dentro de su análisis del panorama de amenazas.

Eso no significa que toda forma de activismo digital sea una intrusión ni que todos los hacktivistas utilicen las mismas técnicas. DDoS, defacement, filtraciones o campañas de información pueden aparecer en distintos contextos; la clasificación exige observar conducta y evidencia, no únicamente el mensaje reivindicativo.

6. Insider: acceso o conocimiento previo no implica malicia automática #

Según la guía de mitigación de insider threat de CISA, un insider puede ser una persona que tiene o tuvo acceso autorizado o conocimiento relevante de recursos de una organización: empleados, contratistas, proveedores u otros perfiles de confianza. La definición es más amplia que “alguien dentro de la red”.

Conviene distinguir insider de insider threat. Una persona con acceso legítimo no es una amenaza por defecto. El riesgo puede surgir por conducta maliciosa, negligencia, error, coerción o compromiso de su cuenta, y cada caso requiere evidencia diferente.

7. Cybercriminal: delito y lucro pueden organizarse de muchas formas #

Cybercriminal describe a actores que utilizan medios digitales para cometer delitos como fraude, robo, extorsión o comercialización ilícita de acceso y datos. ENISA agrupa el cibercrimen como una categoría de actores de amenaza, pero eso no implica que todo el ecosistema funcione igual.

Existen operaciones individuales, grupos coordinados y mercados especializados. Modelos como Initial Access Brokers o Ransomware-as-a-Service muestran división del trabajo en algunos casos, pero no son una plantilla obligatoria para todo incidente de cibercrimen.

8. Actores estatales, state-nexus y APT no son sinónimos perfectos #

Las operaciones relacionadas con Estados pueden perseguir espionaje, influencia, obtención de información estratégica, preposicionamiento o disrupción. ENISA utiliza expresiones como state-nexus actors para describir esa dimensión de relación estatal.

APT tampoco debe usarse como sinónimo automático de “grupo gubernamental”. NIST define una advanced persistent threat por capacidades, recursos y oportunidad para perseguir objetivos mediante múltiples vectores. La atribución a un Estado es una conclusión adicional que requiere evidencia y nivel de confianza.

MITRE ATT&CK recuerda además que sus “Groups” son clusters de actividad seguidos por la comunidad y que los alias entre proveedores pueden solaparse sin representar exactamente al mismo conjunto de actividad.

9. “Hacker motivado por dinero”: mejor tratarlo como motivación #

El lucro es una motivación, no una clase técnica independiente de hacker. Puede aparecer en fraude, BEC, robo de credenciales, extorsión, ransomware, venta de acceso o robo de datos, entre otros escenarios.

Separar actor de motivación evita duplicidades: un grupo puede clasificarse como cibercriminal y, al mismo tiempo, tener motivación económica. La motivación tampoco prueba por sí sola la identidad del actor ni la técnica utilizada.

¿Y los Red Hat, Blue Hat o Green Hat? Mitos y etiquetas no estandarizadas #

Las listas de Internet añaden con frecuencia Red Hat, Blue Hat, Green Hat, Purple Hat y otros colores como si existiera un catálogo oficial. No hay una taxonomía internacional única que asigne esos significados de forma estable.

• Red Hat hacker: suele aparecer en contenidos divulgativos como un supuesto “vigilante” que contraataca a atacantes. No es una profesión normalizada ni debe confundirse con Red Team.
• Blue Hat hacker: su significado cambia según la fuente y el momento histórico. No debe confundirse con Blue Team.
• Green/Purple Hat: pueden aparecer como etiquetas pedagógicas o comunitarias, pero carecen de una definición profesional universal.

Para currículo, entrevistas o arquitectura de seguridad, es más útil nombrar el rol real, las tareas y el contexto operativo.

Qué son los «Teams» de ciberseguridad: funciones operativas, no sombreros #

Los colores de los teams pertenecen a otra dimensión. En la terminología recogida por NIST/CNSSI, Red Team, Blue Team y White Team aparecen vinculados a ejercicios, emulación adversarial, defensa y arbitraje. No describen la moralidad de una persona.

Por eso “Red Team = hacker rojo” es una equivalencia incorrecta. Para entender cómo se relacionan ofensiva y defensa en la práctica, consulta la comparativa específica Red Team vs Blue Team.

10. Red Team: emulación adversarial autorizada #

NIST/CNSSI define el Red Team como un grupo autorizado y organizado para emular capacidades de ataque o explotación de un adversario contra la postura de seguridad de una organización. La palabra clave es autorizado.

Un pentest y un ejercicio de Red Team pueden compartir técnicas, pero no deben definirse por una regla universal como “el pentest busca todas las vulnerabilidades y Red Team solo una bandera”. El alcance, objetivos, sigilo, duración, criterios de éxito y coordinación dependen del engagement.

Si quieres desarrollar esta especialización, la ruta propietaria es el Red Team roadmap.

11. Blue Team: defensa de la organización en un contexto operativo #

NIST/CNSSI utiliza Blue Team para el grupo responsable de defender el uso que una organización hace de sus sistemas frente a atacantes simulados y, en otras definiciones contextuales, para equipos que realizan evaluaciones defensivas y recomendaciones de mitigación.

En el mercado actual, “Blue Team” se utiliza de forma más amplia para agrupar actividades defensivas: monitorización, ingeniería de detección, respuesta a incidentes, threat hunting, hardening y otras funciones. Blue Team no es sinónimo exacto de SOC: un SOC puede ser una parte de la función defensiva, no toda ella.

Para formación defensiva, consulta el Blue Team roadmap.

12. Purple Team: colaboración entre ofensiva y defensa #

Purple Team suele describir un modelo de colaboración en el que ofensiva y defensa comparten información para validar controles, telemetría y detecciones. No obliga a crear un departamento independiente llamado “Purple”.

El valor está en el bucle de aprendizaje y validación, no en “ganar” un ejercicio.

13. White Team: supervisión, reglas y arbitraje del ejercicio #

NIST/CNSSI describe el White Team como el grupo que observa o arbitra la actividad entre Red y Blue Team y ayuda a asegurar que el ejercicio se mantiene dentro de límites predefinidos.

• Ayuda a establecer o hacer cumplir las reglas del ejercicio.
• Gestiona dudas, conflictos y problemas operativos.
• Supervisa límites de seguridad y criterios de parada.
• Apoya la evaluación posterior y las lecciones aprendidas.

El alcance exacto depende del ejercicio; no toda organización utiliza ese nombre.

¿Existen Green Team, Yellow Team o Gold Team? #

Pueden existir modelos internos, consultorías o materiales pedagógicos que asignen colores adicionales a desarrollo, operaciones, dirección u otras funciones. El problema aparece cuando esos modelos se presentan como una convención universal.

Si una empresa utiliza “Green Team”, “Yellow Team” o “Gold Team”, la pregunta correcta es: ¿qué responsabilidades, autoridad, entregables y relaciones define esa organización para ese equipo? El nombre por sí solo no permite inferirlas.

Comparativas clave: conceptos que no debes confundir #

La clasificación que sí importa para tu carrera: roles, tareas y especializaciones #

Para estudiar o buscar empleo, es más útil preguntar qué trabajo quieres hacer que elegir un color. Las empresas contratan para funciones y capacidades: pentesting, AppSec, SOC, incident response, detection engineering, threat intelligence, GRC, cloud security, IAM y muchas otras.

La guía de ramas de ciberseguridad desarrolla esas especialidades. Si tu objetivo es ofensivo, cómo ser pentester y el roadmap de Red Team profundizan en tareas y aprendizaje; si es defensivo, el roadmap de Blue Team cumple esa función.

No necesitas memorizar veinte colores. Necesitas entender qué protege o evalúa el rol, qué evidencia produce, qué conocimientos requiere y bajo qué autorización trabaja.

Preguntas frecuentes sobre tipos de hackers y equipos #

Conclusión: no elijas un color antes de entender qué dimensión describe #

La mejor forma de entender los “tipos de hackers” es dejar de tratarlos como una lista plana. Sombreros, actores, motivaciones, relaciones de acceso y teams responden preguntas distintas. White/Black/Grey Hat son etiquetas informales; hacktivista, cybercriminal, insider o state-nexus describen dimensiones de amenaza; Red, Blue y White Team describen funciones de ejercicio con definiciones contextuales más sólidas.

Para tu carrera, cambia la pregunta de “¿qué color soy?” por “¿qué problemas quiero resolver y qué capacidades necesito demostrar?”. Ese cambio te lleva de una clasificación divulgativa a roles profesionales reales.