O investigație recentă publicată de Krebs on Security dezvăluie un caz alarmant din industria securității cibernetice: un startup care promitea milioane de dolari pentru achiziția de vulnerabilități zero-day în software popular era condus de persoane cu antecedente penale și un istoric dubios în afaceri. Situația ridică semne serioase de întrebare cu privire la mecanismele de verificare a actorilor din piața de securitate ofensivă, o piață care operează adesea la limita legalității.
Conform investigației, cei doi fondatori ai companiei sunt foști condamnați penal cu orientări extremiste, care au operat anterior companii fictive de intelligence și o platformă de lobby bazată pe inteligență artificială, activând în ambele cazuri sub identități false. Această practică de utilizare a numelor asumate pentru a construi aparența de legitimitate reprezintă o tactică clasică de fraudă corporativă, adaptată acum unui domeniu tehnic de mare valoare, cum este piața vulnerabilităților informatice.
Piața zero-day este extrem de sensibilă din punct de vedere etic și legal. Vulnerabilitățile zero-day reprezintă breșe de securitate necunoscute public, pentru care nu există încă patch-uri, iar valoarea lor poate ajunge la milioane de dolari în funcție de software-ul afectat. Atunci când astfel de vulnerabilități ajung în mâinile unor actori cu intenții malițioase sau fără scrupule, consecințele pot include atacuri cibernetice la scară largă, spionaj industrial sau comprometerea infrastructurilor critice. Lipsa unui cadru de reglementare internațional clar în acest domeniu facilitează apariția unor entități de tipul celei descrise.
Incidentul mai pune în lumină și o problemă structurală a ecosistemului de securitate cibernetică: cercetătorii și profesioniștii care descoperă vulnerabilități sunt adesea tentați de oferte financiare substanțiale, fără a verifica în mod riguros legitimitatea cumpărătorului. Motivația financiară poate eclipsa diligența necesară, iar absența unor standarde de tip know-your-customer în sectorul privat al securității ofensive creează oportunități pentru actori frauduloși de a se infiltra în lanțul de aprovizionare cu informații despre vulnerabilități.
Pentru organizațiile din România, acest caz are o relevanță directă. Companiile și instituțiile publice românești care colaborează cu furnizori externi de servicii de securitate cibernetică sau care participă la programe de bug bounty trebuie să aplice procese riguroase de due diligence înainte de a stabili orice parteneriat. Verificarea fondatorilor, a istoricului juridic și a structurii corporative reale a unui partener de securitate nu este un demers birocratic, ci o necesitate strategică. Autoritățile naționale cu competențe în domeniu, precum DNSC, ar trebui să aibă în vedere dezvoltarea unor ghiduri clare pentru organizații în ceea ce privește evaluarea furnizorilor de securitate ofensivă, tocmai pentru a preveni situații în care informații despre vulnerabilități ale sistemelor românești să ajungă la actori cu intenții neclare sau criminale.