Этичный хакер или делец из даркнета

Человек, который набирает в поиске «нанять хакера», получает в одной выдаче два совершенно разных предложения, и внешне они почти не отличаются. Первое — от специалиста, который по письменному разрешению проверяет, можно ли войти в вашу систему. Второе — от перекупщика доступов, чужих данных или готового обмана. У обоих красивый сайт и обещание полной конфиденциальности, а разница в том, кто на другом конце: инженер с договором или посредник, торгующий чужими паролями.

Разница не теоретическая. От неё зависит, получите вы отчёт со списком ошибок или потеряете предоплату и услышите про следующий платёж. В худшем случае — статья: заказ неправомерного доступа к чужому аккаунту остаётся преступлением независимо от того, выполнена работа или нет.

Два предложения на одно и то же слово

Рынок делится на две части, которые связывает только лексика. С легальной стороны работают пентестеры, red team и исследователи безопасности: договор, счёт, сертификаты, публичное портфолио. С криминальной — магазины доступов к взломанным сетям, площадки с базами утечек и команды, продающие вредоносные программы по подписке.

Вторая часть давно вышла из тени: чтобы наткнуться на её предложение, не нужен Tor, достаточно обычного поиска. Сайт с логотипом, прайсом и отзывами клиентов иногда оказывается просто почтовым ящиком для переводов.

Чем на самом деле занимается этичный фрилансер

У работы всегда есть границы, описанные в документе. Обычный набор выглядит так:

Тестирование веб-приложения — формы входа, права доступа, интерфейсы API и типовые ошибки из списка OWASP.
Тестирование внутренней сети — карта узлов, открытые сервисы, попытки повышения привилегий и бокового перемещения.
Социальная инженерия — учебный фишинг и звонки по сценарию, согласованные с кадровой службой и только для оговорённой группы сотрудников.
Оценка уязвимостей — устаревшее программное обеспечение, ошибки конфигурации, известные CVE.
Работа в программах bug bounty — в рамках правил площадки и с ответственным раскрытием находки.

Каждая из этих задач начинается с согласия владельца системы. Без подписи даже идеально проведённый тест незаконен, и серьёзный специалист не пойдёт на это, сколько бы клиент ни настаивал. В споре именно этот документ показывает, у кого было право что делать.

Что продают в даркнете

Перечень криминальных услуг уныло повторяется:

Посредничество в доступе — готовый вход в захваченную корпоративную сеть, цена зависит от отрасли, размера и уровня прав.
Базы утечек — миллионы пар логин и пароль, которые продают оптом под атаки с подстановкой учётных данных.
Вредоносные программы по подписке — шифровальщики, похитители данных, средства удалённого управления с поддержкой и обновлениями.
Данные карт и банковских счетов — вместе с сетью так называемых дропов для вывода денег.
Атаки на перегрузку — услуги по отключению сайта или сетевого сервиса.
Взлом аккаунтов в соцсетях — предложение, которое почти всегда оказывается обманом либо само по себе преступлением.

Ни одна из этих позиций не является услугой для владельца системы. Это товар для того, кто хочет войти туда, где прав у него нет.

Как устроены схемы «хакер на заказ»

Подмена. Сайт выдаёт себя за команду элитных специалистов, с фальшивыми сертификатами и выдуманными отзывами. Предоплата уходит в криптовалюте или переводом, после чего связь обрывается, а домен переезжает на новый адрес.

Фиктивное эскроу. Клиенту предлагают доверенного посредника, который подержит деньги до конца работ. Посредник свой. После перевода молчат оба.

Поставка частями. Присылают один поддельный скриншот и сообщают, что следующий этап требует доплаты. Цикл идёт, пока человек не сдастся.

Обратный шантаж. Взяв деньги за незаконный заказ, исполнитель угрожает заявлением в полицию, если не получит ещё. Клиент одновременно жертва и лицо, пытавшееся заказать преступление.

Семь признаков, после которых разговор прекращают

Нет договора и описанного объёма до оплаты.
Просят ваши собственные пароли и коды доступа — пентестеру не нужен ваш аккаунт.
Требуют деньги раньше, чем пришлют предложение и рекомендации.
Обещают войти в аккаунты, владельцем которых вы не являетесь.
Общение только анонимное: ни названия компании, ни адреса, ни профиля специалиста.
Оплата исключительно криптовалютой, без счёта и закрывающих документов.
Сроки «за два часа» и гарантия результата, которую никто разумный не даст.

Любого одного пункта достаточно, чтобы закончить разговор.

Как проверить исполнителя

Сформулируйте цель. Что именно проверяем и зачем. Точность отсеивает случайных собеседников.
Попросите письменное предложение. Методика, сроки, результат, ограничение ответственности, цена. На это уходит день или два, а не пять минут.
Проверьте реквизиты. ИНН и ОГРН — в реестрах ФНС, сертификаты — на сайте выдающей организации, историю — в публичном профиле.
Позвоните двум клиентам. Рекомендации, которые нельзя проверить, рекомендациями не являются.
Подпишите документы до начала работ. Объём, конфиденциальность, порядок действий при инциденте.

Договор, 152-ФЗ и ответственность

На практике тест оформляют договором возмездного оказания услуг по главе 39 ГК РФ с техническим приложением: перечень доменов и адресов, разрешённые и запрещённые методы, окно работ, контакты с обеих сторон, порядок остановки теста, ответственность за выход за рамки. Акт сдачи-приёмки нужен не для бюрократии: без него сложно доказать и объём работ, и законность доступа.

Второй слой — персональные данные. Тест почти всегда затрагивает базы клиентов и журналы, поэтому если исполнитель обрабатывает их по вашему поручению, нужен договор поручения по части 3 статьи 6 закона 152-ФЗ: состав данных, сроки хранения, обязанность сообщить об инциденте. Оператор уведомляет Роскомнадзор об утечке в течение 24 часов, и подрядчик должен успеть передать ему сведения.

Третий слой — лицензирование. Если работы идут в системах с информацией ограниченного доступа, у исполнителя должна быть лицензия ФСТЭК на техническую защиту конфиденциальной информации. Для банков ориентиром остаётся ГОСТ Р 57580, для объектов критической информационной инфраструктуры — требования 187-ФЗ.

И последнее, о чём вспоминают реже всего: статья 272 УК РФ описывает неправомерный доступ к охраняемой информации, статья 273 — создание и использование вредоносных программ. Заказ проверки чужого аккаунта касается и заказчика, и никакой договор этого не исправит.

Сколько это стоит

Ориентиры по рынку: тест веб-приложения среднего размера — от 300 000 до 1 200 000 рублей в зависимости от числа сценариев. Оценка сети небольшой компании начинается примерно от 150 000 рублей, однодневный сценарий фишинга стоит десятки тысяч. Предложение «полный аудит за 15 000» означает, что исполнитель не понимает объёма работ или не собирается ничего делать.

Профессионал не обещает результата заранее: даты, в которую уязвимость точно найдётся, не существует, потому что результат зависит от состояния системы, а не от доброй воли подрядчика.

Кратко о главном

Этичный хакер работает по письменному разрешению и в границах согласованного объёма.
Даркнет продаёт доступ, данные и обман, и часть этого предложения уже в обычной выдаче.
Простейшая проверка: договор, реквизиты, счёт, отчёт. Нет любого элемента — разговор закончен.
Заказ входа в чужой аккаунт остаётся преступлением, даже если исполнитель ничего не сделал.

Нужно проверить систему перед запуском или привести документы в порядок под требования 152-ФЗ и защиты КИИ? Напишите команде — после короткого разговора скажем прямо, какой объём работ имеет смысл, чего обещать нельзя и как будет выглядеть отчёт.

Частые вопросы

Законно ли нанимать исполнителя в даркнете?

Нет. Заказ неправомерного доступа к системе, аккаунту или данным — преступление независимо от того, выполнена услуга или нет. Отвечают и исполнитель, и заказчик.

Можно ли тестировать свою систему без договора?

Если система полностью ваша и не содержит данных других людей, вы вправе её проверять. Когда она в облаке, используется совместно или принадлежит компании с несколькими владельцами, письменное разрешение нужно даже для внутренних работ.

Что должно быть в отчёте?

Объём и даты работ, перечень находок с доказательствами, оценка критичности по CVSS и порядок исправления: сначала быстрые меры, затем структурные изменения. Отчёт без описания границ теста в споре бесполезен.

Нужно ли сообщать регулятору о самом тесте?

Отдельного требования уведомлять о проведении теста нет. Иное дело — утечка персональных данных: оператор сообщает о ней в Роскомнадзор, и тест не освобождает от этой обязанности.

Что делать, если заплатил мошеннику?

Собрать переписку, подтверждения переводов и адреса сайтов, затем подать заявление в полицию. Полезно также сообщить хостинг-провайдеру и платёжному сервису. Шансы вернуть деньги невелики, но заявление прекращает дальнейшие требования.

Фрилансер-этичный хакер или делец из даркнета: как отличить