Google stelt aanbieders spyware verantwoordelijk voor 60 zerodaylekken
Platformen die spyware te koop aanbieden betalen hackers als zij hen werkende exploits kunnen aanbieden. Vervolgens verkopen ze de instructies om die kwetsbaarheden te benutten voor grof geld. Grote technologiebedrijven komen vaak op voorhand al met oplossingen om een gekend beveiligingslek te dichten, voordat de consument daar weet van heeft (of risico loopt). Maar bij zogenaamde zerodaylekken komen de bedrijven er pas achter als het kwaad al geschied is. Ze lopen dan achter de feiten aan om het lek te dichten. En de gebruikers, die zijn erg kwetsbaar.
Spyware commercieel aangeboden
Het rapport van Googles Threat Analysis Group stelt dat er veel commerciële bedrijven zijn die spyware aanbieden. De TGA zou er wel maar een 40-tal van kortbij opvolgen. Daarvan heeft Googles securityanalist er 11 met naam genoemd: Candiru, Cy4Gate, DSIRF, Intellexa, Negg, NSO Group, PARS Defense, QuaDream, RCS Lab, Variston, en Wintego Systems.
Volgens de TGA zijn er in 2023 vijfentwintig zerodaylekken actief doorgelicht. 20 daarvan waren afkomstig van spywareverkopers. Als we teruggaan tot 2016, dan weet Googles onderzoekstak dat er 60 zerodaylekken zijn ontstaan door commerciële aanbieders van spyware. Zij huurden hackers in die kwetsbaarheden blootlegden in de systemen van onder meer Apple, Adobe, Google, Microsoft en Mozilla.
Klein aantal verantwoordelijken
Niet onbelangrijk om te vermelden is dat die cijfers uiteraard enkel de aanvallen beschrijven die bekend zijn. Samengevat komt de TGA tot de conclusie dat een relatief klein aantal spywarebedrijven verantwoordelijk is voor de meeste beveiligingsproblemen bij grote techbedrijven. In een aantal gevallen kon Google zerodaylekken toeschrijven aan de verantwoordelijke spywareaanbieders. Zo werden er drie kwetsbaarheden gelinkt aan Intellexa.
Het probleem is dat een aantal van die bedrijven die spyware aanbiedt stelt dat hun activiteiten niet illegaal zijn. Meer zelfs: soms beweren ze dat ze juist samenwerken met overheidsinstanties om kwetsbaarheden bloot te leggen. Toch is dat niet de hele waarheid. De TGA stelde vast dat wanneer er een overheid betrokken was, het vaak om spionagepraktijken ging.
Omdat we te vaak in het duister blijven tasten rond zerodaylekken, is het goed dat Google onderzoek voert via zijn Threat Analysis Group. De getroffen bedrijven zijn vaak geneigd om de lippen stijf op elkaar te houden, in de hoop het probleem alsnog tijdig in de kiem te smoren en reputatieschade te vermijden.
