"Hacker tut" ekonomisi: ağırlıklı olarak dolandırıcılık, birkaç mahkûmiyet ve çaresiz alıcılar
Bir e-posta hesabını kırmak için biri aradığınızda sonuçlar çalışan bir sektör gibi görünür: cilalı açılış sayfaları, canlı sohbet temsilcileri, beş yıldızlı referanslar, Gmail, Facebook, Instagram ve WhatsApp için fiyat tabloları. Akademik testler ve araştırmacı gazetecilik farklı bir hikâye anlatıyor. Bu satıcıların çoğu ödemeyi alıp hiçbir şey yapmıyor, birkaçı vadettiklerinin tamını teslim ediyor ve alıcılar - partnerinin gelen kutusunu okumaya, kaybedilmiş bir hesabı kurtarmaya ya da not değiştirmeye çalışan insanlar - para el değiştirmeden önce onları birbirinden ayırmanın bir yoluna sahip değil.
Gerçekten ödediğinizde ne oluyor
En net tablo, müşteri kılığına giren araştırmacılardan geliyor. Mirian ve arkadaşlarının 2019 tarihli çalışması, alıcı kılığında 27 hack-for-hire servisiyle temasa geçti ve yalnızca 5'inin işe kalkıştığını, 3'ünün çalışan giriş bilgileri teslim ettiğini, 3'ününse saf dolandırıcılık olduğunu ortaya koydu: ödeme yapıldı, satıcı kayboldu. Ortalama fiyatlar kabaca 100-500 dolar aralığındaydı. Bir Gmail hesabı için istenen fiyat iki yılda yaklaşık 123 dolardan 384 dolara çıktı; iki aşamalı doğrulamayla korunan hesaplarsa kabaca iki katına kotasyon aldı - yaklaşık 307'ye karşı 690 dolar. Çalışmada tekrar eden bir numara: satıcı, alıcıya erişim "kanıtı" olarak karışmış bir hash gösteriyor, sonra onu "çözmek" için ek ücret istiyor. Hash sahte, erişim de öyle. Hacim mütevazı. Çalışmanın yaklaşık yedi ayı boyunca satıcılar 372 benzersiz hesaba dokundu - test edilen topluluk genelinde haftada yaklaşık 13. Bu endüstriyel bir operasyon değil; tanım gereği utançla susturulması kolay insanlara yönelik küçük dolandırıcılıklar savunmasıdır. Fiyat merdiveni ve hiç gelmeyen iade
Perakende merdiven satıcılar arasında tutarlı: birkaç yüz dolara e-posta hesapları, biraz daha sosyal medya, zirveye yakın iki aşamalı doğrulamalı "zor" hedefler ve yalnızca büyüyen bir ek ücret menüsü - operatör ücretleri, çözüm ücretleri, "son açma ücreti". Ödeme peşin, genellikle kripto ya da hediye kartıyla. Her ek ücret, harcanan parayı bırakmaktan daha ucuz görünecek kadar küçük: klasik peşin ödeme dolandırıcılığı yapısı. İade mekanizması yok, çünkü itiraz kanalı yok: şikâyet eden alıcı bir suç sipariş etmeye çalıştığını kabul etmiş oluyor. Alıcıların gerçekten kaybettiği şey ücretin ötesinde. Satıcıya hedefin e-postasını ya da telefon numarasını, üstüne kendi iletişim bilgilerini ve ödeme izini veriyorlar; birinin izlenmesini ya da hesaplarına girilmesini istediklerine dair bir kayıt oluşturuyorlar. Bu kayıt yeniden satılabilir, ilerideki bir sızıntıda ortaya çıkabilir ya da düpedüz şantaj için kullanılabilir - iki kez şantaja açık bir alıcı. Ve birçok yargı bölgesinde bir hesaba yetkisiz erişim sipariş etmek başlı başına suç; yani anonim satıcının hiç taşımayacağı hukuki riski "müşteri" taşıyor. Piyasanın profesyonel ucu
Gerçek hack-for-hire aktörleri var ama 384 dolarlık Gmail kırıklarını bir açılış sayfasından satmıyorlar. Bureau of Investigative Journalism'ın 2022 tarihli gizli soruşturması, özel dedektifler ve hukuk büroları aracılığıyla ulaşılabilen kurumsal müşterilerden e-posta hesabı başına 3.000-20.000 dolar alan Hindistan merkezli aktörler buldu ve Citizen Lab araştırmalarının BellTroX firmasını 10.000'den fazla ele geçirilmiş hesaba bağladığına atıf yapıyor. İş büyük ölçüde phishing; bir aktör muhabirlere şöyle dedi: "Çoğu zaman hedef bize kendi şifresini veriyor." Bu ölçeğe rağmen soruşturma, üç yıla kadar hapis cezası öngören Hindistan'da tek bir kovuşturma bile saptamadı. Üstündeki forum katmanı daha çok gerçek bir pazara benziyor. KrebsOnSecurity'nin 2015'te Enigma forumunu konu alan haberi, doğrulanmış üyelerin adı geçen bankalara dair veri ya da erişim için teklifler açtığını, iade edilmeyen Bitcoin depozitolarını ve zorunlu ticaret faaliyetini anlatıyordu - meşru pazarlardan kopyalanmış güven yapıları; çünkü bu satıcılar gerçekten teslim ediyor ve tekrar eden müşteriye ihtiyaç duyuyor. Kaspersky'nin erişim komisyoncuları forumlarına 2022 tarihli analizi aynı profesyonelliği gösteriyor: kurumsal ağ erişimi için fiyatı yazılı 117 teklifin yaklaşık yüzde 43'ü 1.000 doların altında kalıyordu, büyük şirketlere erişim tipik olarak 2.000-4.000 dolar tutuyordu ve lotların yaklaşık dörtte üçü RDP ya da VPN artı RDP giriş noktalarıydı. Çalışan bir hack-for-hire pazarı böyle görünür - parlak bir web sitesi olmadan, referanslar olmadan ve perakende müşteriye ilgi duymadan. Mahkûmiyetler oluyor - yalnız perakende için nadiren
Gerçek aktörler yakalandığında dosyalar içten içe sarsıcı. Mayıs 2018'de ABD Adalet Bakanlığı, Rus FSB subaylarıyla komplo kurup onlara yardım eden uluslararası bir hack-for-hire aktörünün 60 ay hapse mahkûm edildiğini duyurdu. Mahkûmiyetler profesyonel katmandan geliyor - devlete bağlı işler, komisyoncular, kurumsal casusluk - oysa arama sonuçlarına hükmeden perakende sayfalar dava dosyası değil dolandırıcılık şikâyeti üretiyor. Yeni kostümle dolandırıcılık listesi dinamikleri
Pazar olarak okunduğunda, perakende hack-for-hire sahnesi darknet pazarlarında sahte satıcı listelerini tehlikeli kılan mekanizmalarla çalışıyor: üretilmiş güven sinyalleri, garanti sonuçlar, peşin ödeme ve arkasında hiç doğrulanabilir geçmiş olmaması. İkinci aşama da tanıdık - çalınan kriptoyu geri getirmeyi vaat edip az önce parasını kaybeden insanları ikinci kez soyan "kurtarma hackerları"; tıpkı sahte kurtarma firmalarının pazar exit-scam'lerini izlemesi gibi. İşaretler yapısal: peşin ödeme, garantili erişim, itiraz yolu yok. Herhangi bir satıcıyı değerlendiren alıcı - bir pazar, ilan toplayıcı ya da "doğrulanmış hacker" sitesi - aslında tek bir soru soruyor: bu pazarın çalışan bir güven katmanı mı var, yoksa sadece bir kostümü mü? Bir pazarın gerçek dolandırıcılık listesini uydurmadan ayıran akıl burada da geçerli; dolandırıcılık listeleri ve kime güvenileceği rehberimizde anlatılıyor.
