Hacken binnen vastgestelde kaders

AMSTERDAM - Als 12-jarig jochie wist Junior Meijering de broncode van computerspelletjes al zodanig te wijzigen dat hij altijd op nummer één stond. Later sloeg hij als ethisch hacker geregeld een nacht over om naar kwetsbaarheden in systemen te zoeken.

Terwijl hij overdag als online beveiligingsspecialist werkte, was Meijering ’s avonds actief op zogenaamde bug bounty platformen. „Bedrijven geven kaders aan waarbinnen je mag proberen hun systemen te kraken. De beloningen voor het blootleggen van kwetsbaarheden kunnen oplopen tot wel $30.000.” De hoogste beloning die Meijering ooit ontving bedroeg €15.000.

„Het was me niet alleen om het geld te doen. Als hacker ben je eigenlijk altijd bezig om uit te zoeken of iets dat ergens voor bedoeld is, ook op een andere manier gebruikt kan worden. Ik kon avonden achter elkaar een klein stukje broncode bestuderen, omdat ik een onderbuikgevoel had dat het niet klopte.”

Die tijd had hij als beveiligingsspecialist niet. „Als je in opdracht van een klant werkt, moet je binnen een bepaalde tijd een systeem op een x-aantal punten controleren. Bovendien ben je de enige expert die ernaar kijkt.”

Deze constatering vormt de grondslag voor het bedrijf Zerocopter. „Wij koppelen hackers en bedrijven aan elkaar. De werkwijze lijkt op dat van bug bounty platformen, maar bedrijven hoeven zelf geen contact te zoeken met hackers. Bovendien zorgen wij ervoor dat de hackers een duidelijk rapport leveren waarin het probleem wordt omschreven en de mogelijke oplossing.”

Het bedrijf is vorig jaar gestart en heeft zo’n driehonderd projecten lopen. Zowel multinationals als startups zijn klant. Zij stellen een budget ter beschikking en schetsen het kader waarbinnen hun systeem gecontroleerd mag worden.

Zerocopter laat altijd eerst een automatische scanner de bekende kwetsbaarheden eruit halen. Vervolgens wijst het een aantal hackers aan die hun expertise er op los mogen laten. Per gevonden fout krijgen ze een bedrag tussen de €50 en €1500.

„We beschikken over een poule van honderd hackers over de hele wereld en er staan er driehonderd op de reservelijst. Voor ze bij ons aan de slag mogen, doen we eerst een identiteitscheck.”