Gospodarka 'wynajmij hakera': głównie oszustwa, nieliczne wyroki i zdesperowani klienci
Poszukaj kogoś, kto włamie się na konto e-mail, a wyniki wyglądają jak działająca branża: wypolerowane strony, konsultanci na czacie na żywo, opinie z pięcioma gwiazdkami, cenniki za Gmaila, Facebooka, Instagrama i WhatsApp. Testy akademickie i dziennikarstwo śledcze mówią inną historię. Większość tych sprzedawców bierze płatność i nic nie robi, nieliczni dostarczają dokładnie to, co obiecują, a klienci - ludzie, którzy chcą poczytać czyjąś skrzynkę, odzyskać utracone konto albo poprawić ocenę - nie mają jak ich odróżnić, zanim pieniądze zmienią właściciela.
Co się dzieje, kiedy naprawdę płacisz
Najjaśniejszy obraz dali badacze, którzy udawali klientów. Badanie Mirian i współpracowników z 2019 roku skontaktowało się z 27 serwisami hack-for-hire w roli kupujących i wykazało, że tylko 5 podjęło się roboty, 3 przekazało działające dane logowania, a 3 to czyste oszustwa: zapłacone, sprzedawca zniknął. Średnie ceny mieściły się w przedziale od około 100 do 500 dolarów. Wycena włamania na Gmaila wzrosła w dwa lata z około 123 do 384 dolarów, a konta z uwierzytelnianiem dwuskładnikowym wyceniano mniej więcej dwa razy drożej - około 307 wobec 690 dolarów. Powtarzający się trik w badaniu: sprzedawca pokazuje kupującemu zaszyfrowany hash jako "dowód" dostępu, a potem żąda dodatkowej opłaty za jego "odszyfrowanie". Hash jest fałszywy, tak samo jak dostęp. Skala jest skromna. W ciągu około siedmiu miesięcy badania sprzedawcy objęli 372 unikalne konta - około 13 tygodniowo w całej testowanej populacji. To nie operacja przemysłowa, lecz salwa drobnych oszustw wymierzonych w ludzi, których z definicji łatwo zamilknąć ze wstydu. Drabinka cen i zwrot, który nigdy nie nadchodzi
Detaliczna drabinka jest spójna u wszystkich sprzedawców: konta pocztowe za kilkaset dolarów, media społecznościowe nieco drożej, "trudne" cele z uwierzytelnianiem dwuskładnikowym na szczycie oraz menu dopłat, które tylko rośnie - opłaty operatora, opłaty za odszyfrowanie, "opłata za ostateczne odblokowanie". Płatność z góry, zwykle w krypto albo kartami podarunkowymi. Każda dodatkowa opłata jest na tyle mała, że wydaje się tańsza niż porzucenie już wydanych pieniędzy - klasyczna struktura oszustwa z przedpłatą. Nie ma mechanizmu zwrotu, bo nie ma kanału sporu: kupujący, który się skarży, przyznaje, że chciał zlecić przestępstwo. To, co tracą kupujący, wykracza poza opłatę. Przekazują sprzedawcy adres e-mail albo numer celu oraz własne dane kontaktowe i ślad płatności, tworząc zapis, że chcieli kogoś inwigilować albo włamywać się na cudze konta. Ten zapis można odsprzedać, może wypłynąć w późniejszym wycieku albo posłużyć do prostego szantażu - kupujący podatny na szantaż podwójnie. A w wielu jurysdykcjach zlecenie nieuprawnionego dostępu do konta to samo w sobie przestępstwo, więc "klient" ponosi ryzyko prawne, którego anonimowy sprzedawca nigdy nie poniesie. Profesjonalny koniec rynku
Prawdziwi wykonawcy hack-for-hire istnieją, ale nie sprzedają włamań na Gmaila za 384 dolary z landing page'a. Reportaż Bureau of Investigative Journalism z 2022 roku, przeprowadzony pod przykrywką, ujawnił indyjskich wykonawców, którzy od klientów korporacyjnych, docieranych przez prywatnych detektywów i kancelarie prawne, brali od 3.000 do 20.000 dolarów za konto e-mail, i powołuje się na badania Citizen Lab wiążące firmę BellTroX z ponad 10.000 skompromitowanych kont. Praca to głównie phishing; jeden z wykonawców powiedział reporterom: "Najczęściej to cel sam daje nam swoje hasło." Pomimo tej skali śledztwo nie wskazało w Indiach żadnych procesów, choć grozi tam za to do trzech lat więzienia. Warstwa forów powyżej wygląda bardziej jak prawdziwy rynek. Relacja KrebsOnSecurity z 2015 roku o forum Enigma opisywała zweryfikowanych członków wystawiających zapytania o dane albo dostęp do banków wymienionych z nazwy, bezzwrotne depozyty w Bitcoinie i obowiązkową aktywność handlową - struktury zaufania skopiowane z legalnych rynków, zbudowane, bo ci sprzedawcy faktycznie dostarczają i potrzebują stałych klientów. Analiza Kaspersky z 2022 roku forów brokerów dostępu pokazuje ten sam profesjonalizm: spośród 117 wycenionych ofert dostępu do sieci korporacyjnych około 43 procent szło za mniej niż 1.000 dolarów, dostęp do dużych firm kosztował zwykle 2.000-4.000 dolarów, a około trzy czwarte lotów to punkty wejścia RDP albo VPN plus RDP. Tak wygląda działający rynek hack-for-hire - bez błyszczącej strony, bez opinii i bez zainteresowania klientami detalicznymi. Wyroki się zdarzają - tylko rzadko w detalu
Kiedy prawdziwych wykonawców się łapie, sprawy robią się poważne. W maju 2018 roku Departament Sprawiedliwości USA poinformował, że międzynarodowy hacker-for-hire, który spiskował z oficerami rosyjskiego FSB i im pomagał, został skazany na 60 miesięcy więzienia. Wyroki dotyczą poziomu profesjonalnego - zlecenia powiązane z państwami, brokerzy, szpiegostwo korporacyjne - podczas gdy detaliczne strony dominujące w wynikach wyszukiwania produkują zgłoszenia oszustw, a nie akty oskarżenia. Dynamika scam-list w nowym kostiumie
Czytane jako rynek, detaliczne hack-for-hire działa na tych samych mechanizmach, które czynią niebezpiecznymi fałszywe listy sprzedawców na rynkach darknet: wytworzone sygnały zaufania, gwarantowane rezultaty, przedpłata i brak jakiejkolwiek weryfikowalnej historii. Drugi etap też jest znajomy - "hakerzy od odzysku", którzy obiecują odzyskać skradzione krypto i ponownie okradają tych, którzy właśnie stracili pieniądze, dokładnie tak, jak fałszywe firmy odzyskowe podążają za exit scamami. Znaki są strukturalne: przedpłata, gwarantowany dostęp, brak drogi sporu. Kto ocenia sprzedawcę - market, agregator ogłoszeń czy stronę "zweryfikowanych hakerów" - tak naprawdę zadaje jedno pytanie: czy ten rynek ma działającą warstwę zaufania, czy tylko jej kostium? To samo rozumowanie, które oddziela prawdziwą scam-listę marketu od sfingowanej, działa i tutaj; opisuje je nasz poradnik o scam-listach i temu, komu można ufać.
