Verificare le credenziali di un hacker

Nella trattativa con un presunto esperto di sicurezza, ogni allegato meriterebbe una controprova, e quasi mai la si riceve. Il mercato clandestino prospera su una sola aspettativa: che l’emergenza spinga a pagare prima di controllare. Cyberlord ragiona nel verso opposto: niente attività tecnica prima di autorizzazione scritta, perimetro e documenti. In questa pagina trovate come verificare le credenziali di un hacker con controlli concreti, dal portale dell’ente certificatore alla lettera d’incarico, passando per referenze e tracce pubbliche riscontrabili.

Un professionista autentico non teme il riscontro incrociato: condivide il link del proprio profilo certificativo e accetta di aprirlo insieme, in video, davanti a voi.

Non seguiamo richieste di accesso ad account di terzi, spiare dispositivi o aggirare protezioni senza un’autorizzazione esplicita.

Le certificazioni che contano e su quale portale si controllano

Esiste un test rapido: ogni titolo serio appartiene a un ente identificabile e possiede un servizio di verifica dedicato. Chiedete sempre tre elementi assieme — nome completo del titolare, denominazione esatta dell’attestato, codice identificativo — poi eseguite il riscontro da soli:

OSCP, OSWE, OSEP (OffSec). Le qualifiche tecniche più rispettate tra chi esegue penetration test. Un candidato credibile fornisce l’URL generata dal verificatore online di OffSec: nel risultato compaiono cognome, data di conseguimento e tipologia della prova pratica superata.
CEH (EC-Council). L’ente mette a disposizione una pagina per la conferma delle certificazioni; con nome e numero si accerta che l’attestato sia attribuito alla persona giusta e resti in vigore.
CISSP (ISC2). Oltre all’attribuzione, l’ente custodisce i registri dei CPE, i crediti di formazione continua che ogni titolare deve accumulare: chi li ha trascurati per anni rischia una qualificazione non più attiva. Controllate lo stato attuale, non la semplice esistenza del documento.
GPEN e titoli GIAC (SANS). GIAC offre una ricerca pubblica che accetta nome e cognome: chiedete il link del profilo certificativo e confrontate con la massima precisione il cognome e la data di rilascio.

Un PDF sgranato in chat, privo di un indirizzo riscontrabile, non è prova alcuna: la conferma deve passare dal canale dell’ente. Occhio infine alle varianti minime del nome — un attestato intestato a “Marco Rossi” allegato a un CV di “Marco Russo” è la firma di un documento importato da altri.

Per una griglia di domande su fornitori e canali d’ingresso, affiancate Scegliere piattaforme affidabili per hacker etici a questo percorso.

Leggere un CV e un profilo LinkedIn con occhio critico

Il curriculum di sicurezza tollera poche semplificazioni, e quattro letture pagano meglio di dieci domande:

Natura del rapporto. “Consulente Sicurezza — Azienda X” può significare un contratto di due settimane o un impiego di cinque anni; chiedete di separare sempre l’esperienza da professionista indipendente da quella da dipendente.
Coerenza cronologica. Periodi sovrapposti, passaggi ravvicinati e lacune non raccontate vanno giustificate; un pentester maturo sa passare in rassegna ogni anno del proprio percorso senza esitazioni.
Provenienza del materiale. Screenshot privi di fonte, loghi di clienti ripresi dai rispettivi siti, repository con l’intera cronologia dei commit concentrata in un fine settimana: sono i dettagli che smascherano un portfolio assemblato in fretta.
Storia del profilo online. Se la biografia dichiara un’attività quinquennale nel campo, un archivio pubblico come il Wayback Machine mostra da quando quella carriera viene raccontata; le descrizioni nate la settimana scorsa lo tradiscono da sole.

Referenze: le domande che non si imparano a memoria

Tre contatti sono il minimo, e almeno due dovrebbero essere committenti: chi ha firmato e pagato un incarico, non il collega interno. Il mezzo conta quanto la persona: una call di dieci minuti, fissata per posta aziendale, dice più di dieci messaggi riscritti in un pomeriggio.

Alla referenza mettete domande episodiche, non opinioni: «Quando il test ha bloccato un servizio in produzione, in che modo è stato riferito?», «Cosa è emerso di impegnativo durante la consegna?», «Cosa aggiungereste oggi al contratto che non c’era allora?». Chi ha lavorato davvero risponde con eventi, date e piccoli dettagli scomodi; chi recita fornisce aggettivi uniformi, senza cronologia.

Diffidate pure delle referenze raggiungibili soltanto sul canale del candidato: se il numero o l’indirizzo di posta non appartengono al dominio del committente citato, chiedetevi chi avete davvero davanti.

Prove di lavoro pubblico: CVE, classifiche CTF e handle di bug bounty

Un professionista attivo nel pentesting lascia impronte controllabili. Il set principale:

CVE. Ricerca per nome direttamente su NVD e sulle advisory dei produttori: un riscontro che compare solo nelle slide del candidato, con nulla sull’albo ufficiale, non vale.
Conferenze. Le pagine relatori degli eventi elencano le sessioni già tenute; video, slide e date corniciano l’intervento con fonti autorevoli.
CTF. Team e classifiche vivono sui tabelloni condivisi: chiedete il nome della squadra e controllate la sua storia su CTFtime o sulle piattaforme tipo HackTheBox. Una squadra nata di recente, priva di partecipazioni datate, somiglia più a una scenografia che a un palmarès.
Bug bounty. HackerOne e Bugcrowd espongono pagine profili pubbliche: chiedete l’handle e accertate che compaia, identico, anche su GitHub, X o un blog personale. Nickname diversi su ogni canale vanno spiegati prima di proseguire.

Un avvertimento di proporzione: una singola CVE su un riscontro di bassa gravità non certifica una competenza; è la continuità del filone negli anni a raccontare la verità.

Assicurazione, riservatezza e lettera d’incarico: i controlli formali

La parte amministrativa protegge quanto quella tecnica, e si valuta in fretta:

Polizza di responsabilità professionale. Richiedete l’attestato con compagnia, numero di contratto e massimali; una conferma telefonica al broker chiarisce se la copertura resta efficace durante l’intera finestra dei lavori.
NDA bilaterale. La riservatezza vale in due direzioni, con ambito, durata e conseguenze scritte; un accordo predisposto soltanto a tutela del fornitore è un segnale da leggere.
Lettera d’incarico. Firma del titolare del sistema, perimetro, finestre di test, escalation, distruzione dei dati, terminazione: il quadro che rende legale il lavoro lo descrive Capire quando assumere un hacker è legale.
Fattura e tracce di pagamento. Un professionista emette fattura con partita IVA; chi pretende movimenti in criptovaluta e rifiuta la ricevuta sta scegliendo l’invisibilità.

Truffe che si nascondono dietro credenziali vere

Qui i falsi arrivano da una direzione diversa:

Certificati prestati. Un PDF autentico intestato a un’altra persona, o un ritaglio di screenshot: la garanzia è la verifica dello schermo condiviso, durante una videochiamata, sulla pagina del portale dell’ente.
Squadre di CTF inventate. Una pagina social con logo e slogan non è uno storico; senza risultati sui tabelloni ufficiali resta un cartellone pubblicitario.
Report d’esempio riciclati. Lo stesso documento disinformato, con logo sostituito, gira per decine di profili: chiedete una pagina dedicata al vostro contesto e osservate quanto cambia.
Riconoscimenti acquistati. Badge e posizioni in classifica che non figurano sulle piattaforme che dovrebbero averli emessi.

La sequenza di controllo in dieci passi

Nome completo e ragione sociale riscontrati su fonti indipendenti.
Qualifica attribuita tramite il portale dell’ente, con codice e date.
Rapporti citati nel CV distinti tra consulenza e impiego.
Referenze interrogate con domande episodiche.
CVE, conferenze e classifiche ricontrollate su fonti pubbliche.
Handle di bug bounty correlati su più canali.
Attestato assicurativo confermato con il broker.
NDA e lettera d’incarico letti integralmente prima della firma.
Report di esempio richiesto e analizzato a fondo, non solo sfogliato.
Fattura e canali di pagamento fissati prima dell’avvio.

E il comportamento da tenere durante i contatti — canali, tempistiche, segnali d’autenticità — è l’oggetto di Assumere un hacker etico in modo sicuro.

Cyberlord

Se il caso è già in corso, inviate fatti, date, schermate e risultato voluto: prima di ogni impegno valuteremo con voi legalità, rischio e prove disponibili.

Cyberlord può fare una valutazione rapida? Sì: legalità, rischio e documentazione vengono esaminati prima di ogni proposta.

Devo condividere password adesso? No. Credenziali e accessi passano soltanto dopo la definizione dell’ambito, su un canale protetto concordato.