Freelancer etyczny czy haker z dark webu: jak ich odróżnić
Zespół bezpieczeństwa Cyberlord Profil autora
Kto wpisuje w wyszukiwarkę „haker do wynajęcia”, ten w jednej liście wyników dostaje dwie oferty, które wyglądają podobnie, a znaczą coś zupełnie innego. Pierwsza to specjalista, który na podstawie pisemnego upoważnienia sprawdza, czy da się wejść do twojego systemu. Druga to handlarz dostępem, danymi albo gotowym oszustwem. Obie strony obiecują pełną dyskrecję, a różnica polega na tym, czy po drugiej stronie stoi fachowiec z umową, czy ktoś, kto odsprzedaje cudze hasła.
Różnica nie jest teoretyczna: decyduje o tym, czy dostaniesz raport z listą błędów do naprawy, czy stracisz zaliczkę i usłyszysz o kolejnym przelewie. W skrajnym przypadku decyduje też o odpowiedzialności karnej, bo zlecenie nieuprawnionego dostępu do konta jest przestępstwem niezależnie od tego, czy usługa została wykonana.
Dwie oferty pod tym samym słowem
Rynek usług bezpieczeństwa dzieli się na dwie części, które łączy głównie słownictwo. Po stronie legalnej pracują pentesterzy, red teamerzy i badacze bezpieczeństwa: podpisują umowy, wystawiają faktury, mają certyfikaty i publikowany dorobek. Po stronie przestępczej działają sklepy z dostępem do przejętych sieci, giełdy danych z wycieków i zespoły sprzedające złośliwe oprogramowanie w abonamencie.
To drugie środowisko wyszło z cienia: nie trzeba instalować przeglądarki Tor, wystarczy zwykłe wyszukiwanie. Strona z logo, cennikiem i opiniami klientów bywa tylko skrzynką kontaktową dla oszustów.
Czym naprawdę zajmuje się etyczny freelancer
Praca zawsze ma granice opisane w dokumencie. Typowy zakres wygląda tak:
- Testy aplikacji webowej — formularze logowania, uprawnienia, interfejsy API i najczęstsze błędy z listy OWASP.
- Testy sieci wewnętrznej — mapa urządzeń, wystawione usługi, próby podniesienia uprawnień i ruchu bocznego.
- Testy socjotechniczne — symulowany phishing i scenariusze telefoniczne, uzgodnione z działem kadr i prowadzone na wyznaczonej grupie osób.
- Ocena podatności — przegląd nieaktualnego oprogramowania, błędnych konfiguracji i znanych podatności CVE.
- Badania w programach bug bounty — praca w granicach regulaminu programu i odpowiedzialne zgłoszenie znaleziska.
Każde z tych zadań zaczyna się od zgody właściciela systemu. Bez podpisu nawet najlepiej wykonany test jest nielegalny i żaden poważny specjalista nie przejdzie nad tym do porządku. W sporze sądowym właśnie ten dokument pokazuje, kto miał prawo co robić.
Co sprzedaje dark web
Katalog usług przestępczych jest nudny w swej powtarzalności:
- Pośrednictwo w dostępie — gotowe wejście do przejętej sieci firmowej, wyceniane według branży, rozmiaru i uprawnień.
- Bazy danych z wycieków — miliony par login i hasło, sprzedawane hurtowo pod ataki z podstawianiem danych logowania.
- Złośliwe oprogramowanie w abonamencie — szyfrujące, wykradające dane, zdalnie sterujące, z pomocą techniczną i aktualizacjami.
- Dane kart płatniczych i kont bankowych — wraz z siecią tak zwanych słupów do wyprowadzania pieniędzy.
- Ataki przeciążeniowe na zamówienie — usługi wyłączające stronę lub usługę sieciową.
- Przejęcia kont w mediach społecznościowych — oferta, która prawie zawsze kończy się oszustwem albo jest przestępstwem.
Żadna z tych pozycji nie jest usługą dla właściciela systemu. To towar dla kogoś, kto chce wejść tam, gdzie nie ma prawa.
Jak działają oszustwa na hakera
Podszycie się. Strona twierdzi, że jest zespołem elitarnych specjalistów, z fałszywymi certyfikatami i wymyślonymi opiniami. Po zaliczce wpłaconej kryptowalutą kontakt się urywa, a domena znika i wraca pod innym adresem.
Fikcyjne escrow. Oszust proponuje zaufanego pośrednika, który ma potrzymać pieniądze do końca prac. Pośrednik jest jego. Po wpłacie milczą obaj.
Dostawa na raty. Klient dostaje jeden spreparowany zrzut ekranu i informację, że dalszy etap wymaga dopłaty. Cykl trwa, dopóki osoba się nie podda.
Szantaż zwrotny. Po przyjęciu zapłaty za nielegalne zlecenie oszust grozi zgłoszeniem na policję, jeśli nie dostanie kolejnych pieniędzy. Klient jest jednocześnie ofiarą i osobą, która usiłowała zlecić przestępstwo.
Siedem sygnałów ostrzegawczych
- Brak umowy i zakresu przed płatnością.
- Prośba o twoje własne hasła i kody dostępu — pentester nie potrzebuje twojego konta.
- Żądanie zapłaty przed przedstawieniem oferty i referencji.
- Deklaracja gotowości do wejścia na konta, których nie jesteś właścicielem.
- Wyłącznie anonimowy kontakt, bez nazwy firmy, adresu i profilu zawodowego.
- Płatność tylko kryptowalutą, bez faktury i paragonu.
- Terminy w rodzaju dwóch godzin i gwarancja wyniku, którego nikt rozsądny nie obiecuje.
Każdy z nich wystarcza do przerwania rozmowy.
Jak sprawdzić kontrahenta
- Ustal cel. Co dokładnie chcesz sprawdzić i po co. Precyzja odsiewa przypadkowych rozmówców.
- Poproś o ofertę na piśmie. Metodyka, harmonogram, produkty, ograniczenie odpowiedzialności, cena. To zajmuje dzień lub dwa, nie pięć minut.
- Zweryfikuj tożsamość. Certyfikaty sprawdza się w rejestrze wystawcy, historię zawodową w profilu publicznym, a numer NIP w rejestrze przedsiębiorców.
- Zadzwoń do dwóch klientów. Referencje, których nie da się sprawdzić, nie są referencjami.
- Podpisz dokumenty przed startem. Zakres, poufność, zasady kontaktu w razie incydentu.
Umowa, RODO i KSC: polskie ramy prawne
W polskiej praktyce kontraktowej pentest najczęściej idzie jako umowa B2B o świadczenie usług, z załącznikiem technicznym. Warto w nim zapisać listę domen i adresów IP, dopuszczalne i zabronione metody, okno czasowe, osoby kontaktowe po obu stronach oraz karę umowną za wyjście poza zakres.
Druga warstwa to dane osobowe. Testy prawie zawsze dotykają baz klientów, logów i korespondencji, więc jeśli wykonawca przetwarza je w twoim imieniu, potrzebna jest umowa powierzenia zgodna z art. 28 RODO. W praktyce oznacza to opisany zakres danych, czas ich przechowywania i obowiązek zgłoszenia naruszenia, żeby administrator zdążył ze zgłoszeniem do UODO w ustawowym terminie. Kopie baz powinny znikać po odbiorze raportu i to też warto zapisać.
Trzecia warstwa dotyczy klientów objętych ustawą o krajowym systemie cyberbezpieczeństwa. U podmiotów z KSC oraz w ich łańcuchu dostaw raport z testów bywa elementem dokumentacji zarządzania ryzykiem, więc jego forma ma większe znaczenie niż w zwykłym zleceniu.
Na koniec strona karna, o której mało kto pamięta przy podpisywaniu: art. 267 Kodeksu karnego opisuje nieuprawniony dostęp do informacji, a art. 287 oszustwo komputerowe. Zlecenie sprawdzenia konta, którego nie jesteś właścicielem, obciąża również zlecającego i żadna umowa tego nie naprawi.
Ile to kosztuje
Ceny w Polsce zależą od zakresu. Test aplikacji średniej wielkości to zwykle 12 000–60 000 zł. Ocena sieci małej firmy startuje w okolicach 8 000–15 000 zł, a za jednodniowy test socjotechniczny zapłacisz kilka tysięcy. Oferta za 800 zł za pełny audyt nie jest okazją, tylko sygnałem, że ktoś nie wie, co sprzedaje, albo nie zamierza niczego dostarczyć.
Podsumowanie
- Etyczny haker pracuje na pisemne upoważnienie i w granicach zakresu, który sam współtworzy.
- Dark web sprzedaje dostęp, dane i oszustwa, a część tej oferty trafiła do zwykłych wyników wyszukiwania.
- Najprostszy test: umowa, tożsamość, faktura, raport. Brak któregokolwiek elementu kończy rozmowę.
- Zlecenie wejścia na cudze konto jest przestępstwem nawet wtedy, gdy osoba podająca się za hakera nic nie zrobiła.
Masz system do sprawdzenia przed wdrożeniem albo chcesz uporządkować zgodność z RODO i KSC? Napisz do zespołu — powiemy wprost, jaki zakres ma sens, czego nie da się obiecać i jak będzie wyglądać raport.
Najczęściej zadawane pytania
Czy zatrudnienie kogoś z dark webu jest w Polsce legalne?
Nie. Zlecenie nieuprawnionego dostępu do systemu, konta albo danych jest przestępstwem niezależnie od tego, czy usługa została wykonana. Odpowiada wykonawca i zleceniodawca.
Czy mogę przetestować własny system bez umowy?
Jeśli system jest wyłącznie twój i nie zawiera danych innych osób, masz domyślne prawo go sprawdzać. Gdy działa w chmurze, jest współdzielony albo należy do firmy z kilkoma udziałowcami, pisemne upoważnienie jest konieczne także przy testach wewnętrznych.
Czy raport z pentestu trzeba gdzieś zgłaszać?
Nie ma powszechnego obowiązku zgłaszania samego raportu. Inaczej jest z naruszeniem ochrony danych — jeśli w trakcie testów ujawni się wyciek danych osobowych, administrator ma obowiązek zgłosić go do UODO. Raport bywa natomiast wymagany w dokumentacji przy audytach i w podmiotach objętych KSC.
Co powinien zawierać raport z testów?
Opis zakresu i dat, listę znalezisk z dowodami, ocenę istotności w skali CVSS oraz kolejność naprawy z podziałem na szybkie poprawki i zmiany strukturalne. Raport bez opisu zakresu bywa bezużyteczny w sporze.
Co zrobić, jeśli padłem ofiarą oszusta?
Zebrać korespondencję, potwierdzenia przelewów i adresy stron, potem złożyć zawiadomienie na policji lub w prokuraturze. Warto zgłosić stronę do CERT Polska i do operatora płatności. Szanse na odzyskanie pieniędzy są niewielkie, ale zgłoszenie chroni przed kolejnymi żądaniami.