Темные маркетплейсы или как дыры продают

Решил сегодня рассказать про неоднозначный тип бизнеса в сфере ИБ — перепродажа уязвимостей. Бизнес-модель проста, как пароль admin: компании скупают эксплойты (вредоносная программа или фрагмент кода) у исследователей и хакеров, чтобы затем перепродать их подороже. Такой вот своеобразный арбитраж уязвимостей.

Еще есть компании, которые создают целые площадки наподобие маркетплейсов, где уязвимости торгуются открыто, как на Avito, только вместо диванов — бэкдоры. Иногда подобные ресурсы даже дают возможность купить эксплойты у хакеров без посредников.

Недавний пример — российская компания Operation Zero (та самая странная контра, которая постоянно ищет к себе в штат реверс-инженеров за дорого), объявившая о готовности заплатить до $4 млн за обнаружение уязвимостей в мессенджере Telegram. Пресс-служба Telegram уже дала комментарий ”Коду Дурова”. Естественно, команда категорически отрицает наличие zero-click уязвимостей. Они подчеркивают, что открытый исходный код и документированные протоколы шифрования проверены исследователями на безопасность. Также они обратили внимание, что если за обнаружение дыр предлагают миллионы, то это только доказывает, что найти уязвимости пока не смогли (сомнительно, но окей).

Все бы ничего, да вот только купить эксплойты могут не только разработчики, чтобы закрыть дыры в своих продуктах, а кто угодно, включая государственные структуры или хакерские группировки. Поэтому подобные торги вызывают большие сомнения.

С одной стороны, компании, скупающие уязвимости, могут способствовать их оперативному устранению. С другой — их деятельность создает теневое поле для спекуляций, где эксплойты рискуют оказаться в руках злоумышленников. И тут вопрос кибербезопасности снова превращается в рынок гонку на опережение: кто успеет первым — защитники или те, кто готов заплатить за взлом?

⚡ Пакет Безопасности | 💬 Чат 🛍 Другие каналы