L'economia dell'«assumi un hacker»: soprattutto truffe, qualche condanna e acquirenti disperati
Cercate qualcuno che violi un account di posta e i risultati sembrano un'industria funzionante: pagine curate, operatori in chat dal vivo, recensioni a cinque stelle, listini prezzi per Gmail, Facebook, Instagram e WhatsApp. I test accademici e il giornalismo d'inchiesta raccontano un'altra storia. La maggior parte di questi venditori incassa il pagamento e non fa nulla, una minoranza consegna esattamente ciò che promette, e gli acquirenti - persone che vogliono leggere la casella del partner, recuperare un account perduto o cambiare un voto - non hanno modo di distinguerli prima che il denaro cambi di mano.
Cosa accade quando paghi davvero
L'immagine più chiara viene da ricercatori che si sono fatti passare per clienti. Uno studio del 2019 di Mirian e colleghi ha contattato 27 servizi hack-for-hire fingendosi acquirenti e ha rilevato che solo 5 hanno mai tentato il lavoro, 3 hanno consegnato credenziali funzionanti e 3 erano truffe pure: pagamento fatto, venditore sparito. I prezzi medi erano tra circa 100 e 500 dollari. Il prezzo richiesto per un account Gmail è salito da circa 123 a 384 dollari in due anni, e gli account con autenticazione a due fattori venivano quotati circa il doppio - circa 307 contro 690 dollari. Un trucco ricorrente nello studio: il venditore mostra all'acquirente un hash cifrato come "prova" dell'accesso, poi pretende un supplemento per "decifrarlo". L'hash è falso, e l'accesso pure. Il volume è modesto. In circa sette mesi di studio, i venditori hanno toccato 372 account unici - circa 13 a settimana sull'intera popolazione testata. Non è un'operazione industriale; è un fuoco sparso di piccole truffe contro persone che, per definizione, sono facili da far tacere per vergogna. La scala dei prezzi e il rimborso che non arriva mai
La scala al dettaglio è coerente tra i venditori: caselle di posta a poche centinaia di dollari, i social un po' di più, bersagli "difficili" con due fattori in cima alla forchetta e un menu di extra che non fa che crescere - costi dell'operatore, costi di decifratura, una "tariffa di sblocco finale". Il pagamento è anticipato, di solito in cripto o gift card. Ogni addebito aggiuntivo è abbastanza piccolo da sembrare più conveniente che abbandonare il denaro già speso: la classica struttura della truffa anticipata. Non esiste un meccanismo di rimborso perché non esiste un canale di contestazione: un acquirente che si lamenta sta ammettendo di aver tentato di commissionare un crimine. Ciò che gli acquirenti perdono va oltre la tariffa. Consegnano al venditore l'indirizzo e-mail o il numero del bersaglio, più i propri dati di contatto e la traccia del pagamento, creando una registrazione del fatto che volevano sorvegliare qualcuno o entrare nei suoi account. Quella registrazione può essere rivenduta, riemergere in una fuga successiva o servire per un ricatto diretto - un acquirente ricattabile due volte. E in molte giurisdizioni commissionare l'accesso non autorizzato a un account è in sé un reato, quindi il "cliente" porta con sé un'esposizione legale che il venditore anonimo non avrà mai. La punta professionale del mercato
I veri operatori hack-for-hire esistono, ma non vendono violazioni di Gmail a 384 dollari da una landing page. Un'inchiesta sotto copertura del Bureau of Investigative Journalism nel 2022 ha trovato operatori indiani che addebitavano a clienti aziendali, contattati tramite detective privati e studi legali, tra 3.000 e 20.000 dollari per casella di posta, e cita le ricerche di Citizen Lab che collegano la società BellTroX a oltre 10.000 account compromessi. Il lavoro è soprattutto phishing; un operatore ha detto ai giornalisti: "La maggior parte delle volte è il bersaglio a darci la propria password." Nonostante quella scala, l'inchiesta non ha individuato procedimenti in India, dove il reato è punito fino a tre anni di carcere. Lo strato dei forum sopra appare più come un mercato vero. La copertura di KrebsOnSecurity del 2015 sul forum Enigma descriveva membri verificati che pubblicavano richieste per dati o accesso a banche citate per nome, depositi Bitcoin non rimborsabili e attività di scambio obbligatoria - strutture di fiducia copiate dai marketplace legittimi, costruite perché questi venditori consegnano davvero e hanno bisogno di clienti abituali. L'analisi del 2022 di Kaspersky sui forum dei broker di accessi mostra lo stesso professionalismo: su 117 offerte con prezzo per accedere a reti aziendali, circa il 43% andava sotto i 1.000 dollari, l'accesso alle grandi aziende costava tipicamente da 2.000 a 4.000 dollari, e circa tre quarti dei lotti erano punti d'ingresso RDP o VPN più RDP. Questo è l'aspetto di un mercato hack-for-hire funzionante - senza sito luccicante, senza recensioni e senza interesse per i clienti al dettaglio. Le condanne esistono - solo raramente al dettaglio
Quando i veri operatori vengono presi, i casi tolgono ogni illusione. Nel maggio 2018 il Dipartimento di Giustizia USA ha annunciato che un hacker-for-hire internazionale che aveva cospirato con ufficiali del FSB russo e li aveva aiutati era stato condannato a 60 mesi di carcere. Le condanne arrivano dal livello professionale - lavoro legato a Stati, broker, spionaggio aziendale - mentre le pagine al dettaglio che dominano i risultati di ricerca producono segnalazioni di truffa, non incriminazioni. La dinamica delle liste di truffe in costume nuovo
Letto come mercato, la scena hack-for-hire al dettaglio gira sulle stesse meccaniche che rendono pericolose le liste di venditori false sui market darknet: segnali di fiducia fabbricati, risultati garantiti, pagamento anticipato e nessuna storia verificabile alle spalle. Anche la seconda fase è familiare - gli "hacker del recupero" che offrono di recuperare criptovalute rubate e rivittimizzano chi ha appena perso denaro, esattamente come le false società di recupero seguono gli exit scam dei market. I segnali sono strutturali: pagamento anticipato, accesso garantito, nessuna via di contestazione. Chi valuta un venditore - un market, un aggregatore di annunci o un sito di "hacker verificati" - in realtà si sta facendo una domanda: questo mercato ha uno strato di fiducia funzionante o solo un costume? Lo stesso ragionamento che distingue la vera lista di truffe di un mercato da una fabbricata vale qui, ed è spiegato nella nostra guida sulle liste di truffe e a chi fidarsi.
