Etisk hackare eller dark web-bedragare

Den som söker på att hyra in en hackare får två helt olika erbjudanden i samma träfflista, och de ser nästan likadana ut. Det ena kommer från en specialist som med skriftligt tillstånd undersöker om din miljö går att ta sig in i. Det andra kommer från någon som säljer åtkomst, stulna uppgifter eller färdiga bedrägerier. Båda har snygg webbplats och lovar full diskretion, och skillnaden ligger i vem som sitter på andra sidan: en ingenjör med avtal eller en mellanhand som handlar med andras lösenord.

Skillnaden är inte teoretisk. Den avgör om du får en rapport med brister att åtgärda eller förlorar handpenningen och får höra om ännu en betalning. I värsta fall avgör den också straffansvaret, för att beställa obehörig åtkomst till någon annans konto är brottsligt oavsett om arbetet blev utfört.

Två erbjudanden under samma ord

Marknaden består av två delar som bara delar ordförråd. På den lagliga sidan arbetar pentestare, red team och säkerhetsforskare: de tecknar avtal, fakturerar, har certifieringar och en offentlig meritlista. På den kriminella sidan finns butiker med åtkomst till kapade nätverk, marknadsplatser med läckta databaser och grupper som säljer skadlig kod som prenumeration.

Den andra delen har lämnat skuggorna. Du behöver ingen Tor-webbläsare för att hitta erbjudandet, det räcker med en vanlig sökning. En webbplats med logotyp, prislista och omdömen från nöjda kunder kan vara enbart en brevlåda för betalningar.

Vad en etisk frilansare faktiskt gör

Arbetet har alltid gränser som står i ett dokument. Ett typiskt uppdrag ser ut så här:

Test av webbapplikation — inloggningar, behörigheter, gränssnitt mot andra system och vanliga fel från OWASP-listan.
Test av internt nät — karta över enheter, öppna tjänster, försök att höja behörighet och röra sig i sidled.
Social manipulation — simulerad nätfiske och telefonscenarier, avstämda med HR och bara mot en utvald grupp medarbetare.
Sårbarhetsbedömning — föråldrad programvara, felkonfigurationer och kända sårbarheter med CVE-nummer.
Arbete i bug bounty-program — inom programmets regler och med ansvarsfull rapportering av fyndet.

Varje sådant uppdrag börjar med att systemägaren säger ja på papper. Utan underskrift är även ett perfekt utfört test olagligt, och ingen seriös specialist går med på det hur mycket uppdragsgivaren än insisterar. I en tvist är det dokumentet som visar vem som hade rätt att göra vad.

Vad som säljs på dark web

Utbudet är tröttsamt förutsägbart:

Förmedling av åtkomst — färdig väg in i ett övertaget företagsnät, prissatt efter bransch, storlek och behörighetsnivå.
Läckta databaser — miljontals användarnamn och lösenord, sålda i parti för attacker med återanvända inloggningar.
Skadlig kod som prenumeration — krypterare, datastjälar och fjärrstyrning med support och uppdateringar.
Kort- och kontouppgifter — tillsammans med ett nät av så kallade målvakter för att flytta pengarna.
Överbelastningsattacker på beställning — tjänster som slår ut en webbplats eller nätverkstjänst.
Kapade konton i sociala medier — ett erbjudande som nästan alltid slutar i bedrägeri eller i sig är ett brott.

Ingen av posterna är en tjänst för den som äger systemet. Det är en vara för den som vill in där den inte har rätt att vara.

Så fungerar bluffen kring hackare

Utgivning. Webbplatsen påstår sig vara ett team av elitspecialister, med falska certifikat och påhittade omdömen. Handpenningen betalas i kryptovaluta eller via överföring, sedan tystnar kontakten och domänen flyttar till en ny adress.

Låtsadesdepå. Bedragaren föreslår en betrodd mellanhand som ska hålla pengarna till arbetet är klart. Mellanhanden är hans egen. Efter insättningen tiger båda.

Omvänt utpressning. Efter betalning för ett olagligt uppdrag hotar bedragaren med polisanmälan om inte mer pengar kommer. Kunden är både offer och den som försökte beställa ett brott.

Sju varningssignaler

Inget avtal och ingen avgränsning före betalning.
Du ombeds lämna ut dina egna lösenord och koder, trots att en pentestare inte behöver ditt konto.
Krav på betalning innan offert och referenser har presenterats.
Löften om att ta sig in på konton som du inte äger.
Enbart anonym kontakt, utan företagsnamn, adress och publik profil.
Betalning endast i kryptovaluta, utan faktura och underlag.
Tidslöften om två timmar och garanti på ett resultat som ingen seriös aktör utfärdar.

Varje punkt räcker för sig för att avsluta samtalet.

Så kontrollerar du motparten

Bestäm syftet. Vad som ska prövas och varför. Tydlighet sållar bort tillfälliga aktörer.
Begär skriftlig offert. Metod, tidplan, leverans, ansvarsbegränsning och pris. Det tar en dag eller två.
Kontrollera identiteten. Organisationsnummer hos Bolagsverket, F-skatt hos Skatteverket och certifieringar hos den som utfärdat dem.
Ring två kunder. Referenser som inte går att kontrollera är inga referenser.
Skriv under före start. Omfattning, sekretess och kontaktvägar vid incident.

Avtal, GDPR och svensk avtalsrätt

I svensk praktik tecknas uppdraget som ett konsultavtal med bilagd teknisk specifikation: domäner och IP-adresser, tillåtna och förbjudna metoder, tidsfönster, kontaktpersoner på båda sidor, rutin för att avbryta testet samt avtalsvite om arbetet går utanför omfattningen. Sekretessavtal och ansvarsbegränsning är standard, inte misstroende. Avtalslagen ställer inga formkrav, men bevisvärdet avgör: utan underskrift blir gränsdragningen en tolkningsfråga i efterhand.

Andra lagret är personuppgifterna. Ett test berör nästan alltid kundregister, loggar och korrespondens, och om leverantören behandlar dem för din räkning krävs ett personuppgiftsbiträdesavtal enligt artikel 28 i dataskyddsförordningen. Det ska ange vilka kategorier som behandlas, hur länge kopior får sparas och hur en incident rapporteras, så att du kan anmäla till IMY inom 72 timmar. Att kopiorna raderas efter godkänd rapport bör också stå med.

Tredje lagret gäller verksamheter som omfattas av cybersäkerhetslagen. För samhällsviktiga tjänster blir testrapporten en del av riskhanteringen och granskas av tillsynsmyndigheten, vilket ställer högre krav på dokumentationen.

Till sist straffrätten: dataintrång regleras i 4 kap. 9 c § brottsbalken. Att beställa åtkomst till ett konto man inte äger träffar även uppdragsgivaren, och inget avtal ändrar på det.

Vad det kostar

Svenska priser varierar med omfattningen. Test av en medelstor webbapplikation landar oftast mellan 60 000 och 250 000 kronor. En översyn av ett mindre företagsnät börjar runt 40 000 kronor. Ett erbjudande om fullständig revision för 5 000 kronor är inget fynd utan ett tecken på att säljaren inte förstår uppdraget.

En seriös leverantör lovar inte heller utfall: det finns inget datum då en sårbarhet garanterat hittas.

Kort sammanfattat

En etisk hackare arbetar på skriftligt tillstånd och inom en omfattning som båda parter format.
Dark web säljer åtkomst, uppgifter och bedrägerier, och en del syns i vanliga sökresultat.
Enklaste provet: avtal, identitet, faktura, rapport. Saknas något av det är samtalet över.
Att beställa intrång i någon annans konto är brottsligt även när inget hann hända.

Har du en miljö som ska prövas före lansering, eller vill du få ordning på dokumentationen kring dataskydd och cybersäkerhetskrav? Skriv till teamet — vi säger rakt ut vilken omfattning som är rimlig, vad som inte går att lova och hur rapporten ser ut.

Vanliga frågor

Är det lagligt att anlita någon på dark web?

Nej. Att beställa obehörig åtkomst till ett system, ett konto eller uppgifter är brottsligt oavsett om tjänsten utfördes. Både utförare och uppdragsgivare kan dömas.

Får jag testa mitt eget system utan avtal?

Om systemet är helt ditt och inte innehåller andra personers uppgifter får du undersöka det. Ligger det i molnet, delas med andra eller ägs av ett bolag med flera ägare krävs skriftligt tillstånd även internt.

Vad ska rapporten innehålla?

Omfattning och datum, fynd med underlag, allvarlighetsgrad enligt CVSS och ordning för åtgärder: snabba fixar först, strukturella sedan. En rapport utan avgränsning är värdelös i en tvist.

Måste jag anmäla själva testet?

Det finns inget krav på att anmäla att ett test genomförs. Däremot ska en personuppgiftsincident anmälas till IMY, och ett test fritar dig inte från den skyldigheten.

Vad gör jag om jag blivit lurad?

Samla korrespondens, betalningsunderlag och webbadresser och gör en polisanmälan. Anmäl också till banken. Chansen att få tillbaka pengarna är liten, men anmälan stoppar fortsatta krav.

Etisk hackare eller dark web-bedragare: så skiljer du dem