Một grey hat (còn được gọi là greyhat hoặc gray hat) là một hacker máy tính hoặc chuyên gia An ninh máy tính có thể đôi khi vi phạm luật pháp hoặc các tiêu chuẩn hacker đạo đức, nhưng thường không có ý định độc hại như một hacker black hat.Thuật ngữ này được sử dụng vào cuối những năm 1990 và được tạo ra từ các khái niệm "white hat" và "black hat" hackers.[1] Khi một hacker white hat phát hiện một lỗ hổng, họ sẽ khai thác nó chỉ khi có sự cho phép và không tiết lộ sự tồn tại của nó cho đến khi nó được khắc phục, trong khi hacker black hat sẽ khai thác nó bất hợp pháp và/hoặc cho người khác biết cách làm vậy. Grey hat sẽ không khai thác nó bất hợp pháp, cũng không cho người khác biết cách làm vậy.[2]Một sự khác biệt khác giữa các loại hacker này nằm ở phương pháp khám phá các lỗ hổng. White hat xâm nhập vào các hệ thống và mạng theo yêu cầu của nhà tuyển dụng hoặc với sự cho phép rõ ràng nhằm xác định mức độ bảo mật chống lại các hacker, trong khi black hat sẽ xâm nhập vào bất kỳ hệ thống hoặc mạng nào để tìm ra thông tin nhạy cảm vì lợi ích cá nhân. Grey hat thông thường có kỹ năng và ý định tương tự như white hat nhưng sẽ xâm nhập vào bất kỳ hệ thống hoặc mạng nào mà không có sự cho phép.[3][4]Theo một định nghĩa về hacker với tư cách grey-hat, khi họ phát hiện một lỗ hổng, thay vì thông báo cho nhà cung cấp biết cách tận dụng lỗi, họ có thể đề nghị sửa chữa nó với một khoản phí nhỏ. Khi một người truy cập bất hợp pháp vào một hệ thống hoặc mạng, họ có thể đề xuất cho quản trị hệ thống thuê một trong những người bạn của mình để khắc phục vấn đề; tuy nhiên, thực tế này đang giảm dần do sự sẵn lòng gia tăng của các doanh nghiệp kiện tụng. Một định nghĩa khác về grey hat cho rằng các hacker grey hat chỉ vi phạm pháp luật một cách có thể tranh cãi nhằm nghiên cứu và cải thiện bảo mật, với tính hợp pháp được xác định dựa trên hệ quả cụ thể của bất kỳ cuộc tấn công nào mà họ tham gia.[5]Trong cộng đồng tối ưu hóa công cụ tìm kiếm (SEO), grey hat hackers là những người điều chỉnh xếp hạng công cụ tìm kiếm của các trang web bằng cách sử dụng các phương pháp không đúng hoặc không đạo đức, nhưng không được coi là spam của công cụ tìm kiếm.[6]