Wokół „firm, które współpracują z hakerami” narosło wiele mitów i teorii spiskowych. Rzeczywistość jest bardziej złożona — i lepiej udokumentowana. Istnieje realny, po części legalny rynek luk typu zero-day (nieznanych producentowi podatności) oraz komercyjnego oprogramowania szpiegującego, na którym głównymi klientami są zwykle rządy, a nie pospolici przestępcy. Warto zrozumieć jego strukturę, zamiast wskazywać palcem konkretne firmy bez dowodów.
Trzy poziomy rynku
Rynek podatności najlepiej opisać jako trzy nakładające się warstwy:
- Biały rynek — w pełni legalny. To programy bug bounty i badania bezpieczeństwa, w których badacze zgłaszają luki producentom w zamian za nagrodę. Opisujemy ten model w tekście White hat, grey hat i etyka.
- Szary rynek — strefa niejednoznaczna prawnie i etycznie. Działają na niej brokerzy skupujący luki zero-day i odsprzedający je głównie klientom rządowym, oraz producenci komercyjnego spyware. Legalność bywa tu warunkowa i zależy od regulacji eksportowych.
- Czarny rynek — nielegalny handel exploitami i dostępami wśród cyberprzestępców, zasilający ataki opisywane w Malware jako usługa.
Brokerzy exploitów
Najbardziej znanym przykładem brokera jest Zerodium — firma założona w 2015 roku, która płaci badaczom za nieznane luki i sprzedaje je na wyłączność swoim klientom (w większości rządowym). Stawki bywają ogromne: za pełne łańcuchy exploitów na urządzenia mobilne oferowano nawet 2–2,5 mln dolarów, a szacunki dla najbardziej wartościowych narzędzi przekraczają dziś 5 mln dolarów. Co istotne, taka działalność bywa legalna w USA i UE, ale podlega kontroli eksportu — m.in. Porozumieniu z Wassenaar i unijnemu rozporządzeniu 2021/821 o produktach podwójnego zastosowania. Model ten jest jednak przedmiotem gorącej debaty: krytycy (m.in. badacze z Citizen Lab) wskazują, że gromadzenie niezałatanych luk pozostawia cywilną infrastrukturę bezbronną.
Komercyjne spyware
Osobną, silnie krytykowaną gałęzią są producenci komercyjnego oprogramowania szpiegującego. Najgłośniejszy przykład to NSO Group i jego narzędzie Pegasus, które — jak udokumentowały niezależne organizacje badawcze — bywało wykorzystywane przez rządy do inwigilacji dziennikarzy, aktywistów i opozycjonistów. To pokazuje sedno problemu narzędzi podwójnego zastosowania: ta sama technologia może służyć uprawnionej pracy wywiadowczej i poważnym nadużyciom, w zależności od tego, kto i wobec kogo jej używa.
Dlaczego to ważne — i czego NIE mówi ten artykuł
Rynek exploitów to realny czynnik globalnego bezpieczeństwa: napędza „wyścig zbrojeń” w cyberprzestrzeni i tłumaczy, dlaczego niektóre luki pozostają latami niezałatane. Trzeba jednak jasno powiedzieć, czego tu nie twierdzimy. Nie sugerujemy, że firmy zajmujące się obroną — pentesterzy, dostawcy zabezpieczeń, zespoły reagowania — „pracują dla hakerów”. To byłby fałszywy i krzywdzący zarzut. Opisujemy udokumentowaną, kontrowersyjną gałąź rynku, w której pojawiają się konkretne, szeroko opisane podmioty — a nie ogólnikowe oskarżenia wobec branży bezpieczeństwa jako takiej. Kto jest kim w tym świecie i jakie role pełnią różni aktorzy, porządkujemy w przewodniku Rodzaje hakerów i role różnych „kapeluszy”.
Na koniec praktycznie: exploity z tego rynku trafiają w końcu do realnych ataków, a te najczęściej i tak zaczynają się od czegoś prostego — kliknięcia albo słabego hasła. A jeśli ktoś oferuje Ci „hakera z dostępem do dowolnego systemu”, to niemal na pewno oszustwo, co wyjaśniamy w Haker do wynajęcia — uważaj, zanim komuś zapłacisz.
Treść informacyjno-edukacyjna. Oparta na publicznych opracowaniach o rynku zero-day i komercyjnym spyware; wymienione podmioty są szeroko opisane w źródłach otwartych.
O autorze
