Frans tjänar hundratusentals dollar på att hacka lagligt

De flesta av oss får panik om vi ens läser ordet “hackad” i en nyhetsrubrik. Frans Rosén, stockholmare och en av grundarna bakom säkerhetsföretaget Detectify, gör precis det stora techbolag helst vill undvika – bryter sig in i deras system – varje dag. Skillnaden är att han gör det med företagens tillåtelse, och enligt uppgift har det gett honom hundratusentals dollar i intäkter via så kallade bug bounty-program.

Vad är egentligen ett bug bounty-program?

Ett bug bounty-program är ett upplägg där företag som Facebook, Google och en lång rad andra techjättar bjuder in säkerhetsforskare att aktivt leta efter sårbarheter i deras system, mot en belöning om man hittar något. Tanken är enkel: hellre betala en etisk hackare för att hitta hålet, än att en kriminell aktör hittar det först och utnyttjar det. Rosén är enligt branschbevakning en av de mest namnkunniga profilerna inom det här fältet internationellt, med en lång meritlista av rapporterade sårbarheter hos några av världens största internetbolag.

“Hela idén bygger på att det är billigare för ett företag att betala en forskare för att hitta hålet, än att drabbas av en läcka som kostar miljoner och förtroende”, är en beskrivning som återkommit i intervjuer med säkerhetsforskare inom fältet.

Är det inte olagligt att hacka sig in hos ett företag?

Nej, inte när det sker inom ramarna för ett bug bounty-program. Företagen definierar tydligt vilka system som får testas och hur, och forskaren rapporterar sårbarheten direkt till företaget istället för att utnyttja den eller sälja informationen vidare. Det är den avgörande skillnaden mellan en etisk hackare, ofta kallad “white hat”, och den kriminella variant som medierna oftast förknippar med ordet hackare.

Några saker som brukar utmärka arbetet som säkerhetsforskare inom bug bounty:

• Fokus ligger på att hitta och rapportera brister i webbapplikationer, inte att stjäla data
• Belöningen varierar kraftigt beroende på hur allvarlig sårbarheten är, från några hundra till tiotusentals dollar per fynd
• Många forskare, Rosén inräknad, delar med sig av tekniker och metoder öppet via bloggar och konferenser i branschen

Hur blir man såpass duktig på det här?

Enligt Roséns egna beskrivningar i branschintervjuer handlar det till stor del om nyfikenhet och envishet snarare än en formell utbildning i cybersäkerhet. Han och kollegorna bakom Detectify har byggt en karriär på att systematiskt leta efter de typer av säkerhetsluckor som stora, komplexa system ofta missar internt, just för att de själva byggt systemen och blivit hemmablinda för sina egna svagheter.

Betyder det här att våra data är säkrare nu?

Delvis, ja. Bug bounty-modellen har på kort tid blivit en etablerad del av hur stora techbolag arbetar med säkerhet, vid sidan om interna säkerhetsteam. Men modellen löser inte alla problem – den fångar i första hand sårbarheter i väl avgränsade, publikt tillgängliga tjänster, snarare än i alla de interna system som aldrig exponeras för utomstående forskare. Det gör att den som vill värna sin egen digitala säkerhet fortfarande behöver tänka på grunderna själv, till exempel genom att se till att barnsäkra sin iPhone med rätt inställningar. Det säger också något om hur mycket data som samlas in om oss överlag, en fråga som blir än mer laddad i länder som Kina, vilket vi utforskat i texten om vad som krävs för att bli en kinesisk mönstermedborgare.

Oavsett hur mycket pengar som går att tjäna på det hela är kärnan i Roséns arbete densamma som för alla andra i branschen: att hitta hålet innan någon med sämre avsikter hinner före.