De 'huur een hacker'-economie: vooral oplichting, enkele veroordelingen en wanhopige kopers
Zoek je iemand die een e-mailaccount hackt, dan zien de resultaten eruit als een werkende industrie: gepolijste landingspagina's, livechat-medewerkers, vijfsterrenreviews, prijstabellen voor Gmail, Facebook, Instagram en WhatsApp. Academische tests en onderzoeksjournalistiek vertellen een ander verhaal. De meeste van deze verkopers incasseren de betaling en doen niets, een handjevol levert precies wat beloofd is, en de kopers - mensen die de inbox van een partner willen lezen, een verloren account terug willen of een cijfer willen aanpassen - hebben geen manier om ze uit elkaar te houden voordat het geld van eigenaar wisselt.
Wat er gebeurt als je echt betaalt
Het helderste beeld komt van onderzoekers die zich als klanten voerden. Een studie uit 2019 van Mirian en collega's benaderde 27 hack-for-hire-diensten als koper en constateerde dat slechts 5 het werk ooit probeerden, 3 werkende inloggegevens opleverden en 3 pure oplichting waren: betaald, verkoper verdwenen. De gemiddelde prijzen zaten tussen ruwweg 100 en 500 dollar. De gevraagde prijs voor een Gmail-account steeg in twee jaar van zo'n 123 naar 384 dollar, en accounts met tweestapsverificatie werden voor ongeveer het dubbele aangeboden - zo'n 307 tegenover 690 dollar. Een terugkerende truc in de studie: de verkoper toont de koper een versleutelde hash als "bewijs" van toegang en eist daarna een extra vergoeding om die te "ontcijferen". De hash is nep, en de toegang net zo goed. Het volume is bescheiden. Over zo'n zeven maanden van de studie raakten de verkopers 372 unieke accounts - ongeveer 13 per week in de hele geteste populatie. Dit is geen industriële operatie; het is een strooivuur van kleine oplichtingstrucs gericht op mensen die per definitie makkelijk uit schaamte de mond gesnoerd kunnen worden. De prijsladder en de terugbetaling die nooit komt
De retailladder is consistent over verkopers heen: e-mailaccounts voor een paar honderd dollar, social media iets meer, "moeilijke" doelen met tweestapsverificatie aan de top, en een menu van toeslagen dat alleen maar groeit - providerkosten, ontcijferkosten, een "laatste ontgrendelingsfee". Betaling vooraf, meestal in crypto of cadeaubonnen. Elke extra kostenpost is klein genoeg om goedkoper te lijken dan het al uitgegeven geld op te geven: de klassieke advance-fee-structuur. Een terugbetalingsmechaniek bestaat niet omdat er geen geschillenkanaal is: een koper die klaagt geeft toe dat hij een misdrijf probeerde uit te besteden. Wat kopers verliezen gaat verder dan de vergoeding. Ze geven de verkoper het e-mailadres of telefoonnummer van het doelwit plus hun eigen contactgegevens en betalingsspoor, waarmee ze vastleggen dat ze iemand wilden bespieden of accounts wilden binnendringen. Die registratie kan doorverkocht worden, in een later datalek opduiken of dienen voor platte afpersing - een koper die twee keer afpersbaar is. En in veel rechtsgebieden is het opdracht geven tot ongeautoriseerde toegang tot een account op zich al een strafbaar feit, dus de "klant" draagt een juridisch risico dat de anonieme verkoper nooit zal dragen. De professionele kant van de markt
Echte hack-for-hire-operatoren bestaan, maar verkopen geen Gmail-inbraken van 384 dollar vanaf een landingspagina. Ondercoveronderzoek van het Bureau of Investigative Journalism in 2022 vond Indiase operatoren die zakelijke klanten - bereikt via privédetectives en advocatenkantoren - tussen 3.000 en 20.000 dollar per e-mailaccount berekenden, en citeert onderzoek van Citizen Lab dat het bedrijf BellTroX verbindt met meer dan 10.000 gecompromitteerde accounts. Het werk is vooral phishing; een operator zei tegen de verslaggevers: "Meestal geeft het doelwit ons zijn eigen wachtwoord." Ondanks die omvang identificeerde het onderzoek geen enkele vervolging in India, waar het delict tot drie jaar cel kan leiden. De forumlaag daarboven lijkt weer op een echte markt. KrebsOnSecuritys berichtgeving uit 2015 over het Enigma-forum beschreef gecontroleerde leden die biedingen plaatsten op data of toegang tot bij naam genoemde banken, niet-terugbetaalbare Bitcoin-stortingen en verplichte handelsactiviteit - vertrouwensstructuren gekopieerd van legitieme marktplaatsen, gebouwd omdat deze verkopers echt leveren en terugkerende klanten nodig hebben. Kaspersky's analyse uit 2022 van access-brokerforums laat hetzelfde professionalisme zien: van de 117 prijsoffertes voor toegang tot bedrijfsnetwerken zat ongeveer 43 procent onder de 1.000 dollar, toegang tot grote bedrijven kostte doorgaans 2.000 tot 4.000 dollar, en ongeveer drie kwart van de loten waren RDP- of VPN-plus-RDP-toegangspunten. Zo ziet een werkende hack-for-hire-markt eruit - zonder glimmende website, zonder reviews en zonder interesse in retailklanten. Veroordelingen gebeuren - alleen zelden in retail
Als echte operatoren gepakt worden, zijn de zaken ontnuchterend. In mei 2018 maakte het Amerikaanse ministerie van Justitie bekend dat een internationale hacker-for-hire die samenspande met en hielp aan Russische FSB-officieren tot 60 maanden gevangenis was veroordeeld. De veroordelingen komen uit de professionele laag - statelijke opdrachten, brokers, bedrijfsspionage - terwijl de retailpagina's die de zoekresultaten domineren oplichtingsrapporten opleveren, geen aanklachten. Scamlijst-dynamiek in een nieuw kostuum
Als markt gelezen draait de retail-hack-for-hire-scene op dezelfde mechanismen die nepverkoperslijsten op darknetmarkten gevaarlijk maken: gefabriceerde vertrouwenssignalen, gegarandeerde resultaten, vooruitbetaling en geen verifieerbare historie achteraan. De tweede fase is ook bekend - "recovery-hackers" die aanbieden gestolen crypto terug te halen en mensen opnieuw benadelen die net geld kwijtraakten, precies zoals nep-herstelfirma's exit scams volgen. De herkenningspunten zijn structureel: vooruitbetaling, gegarandeerde toegang, geen geschillenweg. Wie een verkoper beoordeelt - een markt, een listingsaggregator of een "geverifieerde hackers"-site - stelt in werkelijkheid één vraag: heeft deze markt een werkende vertrouwenslaag, of alleen een kostuum daarvan? Dezelfde redenering die de echte scamlijst van een markt onderscheidt van een vervalste geldt hier, en staat uitgelegd in onze gids over scamlijsten en wie je kunt vertrouwen.
