Сколько зарабатывают белые хакеры из Украины. Интервью с Hacken

Уже сейчас крупные компании тратят сотни тысяч, а то и миллионы долларов на то, чтобы их взламывали не черные, а белые хакеры. Так они проверяют свои системы на безопасность. Согласно статистике платформы Hackerone, Uber потратил на это более $1,6 млн.

Чеки за подобную работу разные: как $500, так и $10 000, и $17 500. Twitter выплатил хакерам более $996 000. PornHub - более $200 000. А Samsung однажды обещал такую же сумму тому, кто найдет уязвимости в его линейке продуктов.

В 2017 году в Украине появилась платформа, которая сейчас объединяет сотни самых изощренных хакеров со всего мира. LIGA.net решила пообщаться с ее сооснователем и CEO Дмитрием Будориным.

После восьми лет работы в Deloitte он перешел в Укроборонпром, где занимался аудитом и внедрением электронного документооборота. Но спустя два года - "наелся" саботажа и бюрократии и вернулся в бизнес, основав компанию на стыке кибербезопасности и крипты.

Дмитрий рассказал обукраинских белых хакерах: как они работают, сколько зарабатывают. Также с ним удалось поговорить на тему бизнеса и криптобизнеса (ведь Hacken на старте тоже выпускал свой коин): Почему украинские стартапы не регистрируются в Украине, почему Китай, несмотря на запрет, переходит на биткоин, и когда в Украине заработает криптогривня.

О ПОКУПКЕ АКЦИЙ TESLA И УВОЛЬНЕНИИ ГЕНЕРАЛОВ В УКРОБОРОНПРОМЕ

- Дмитрий, просматривал вашу биографию в одном из видео на YouTube. Там был один прикольный момент. Якобы вы продали автомобиль Honda Civic и купили акции Tesla. В каком году это было, как вы к этому пришли?

- Это было где-то в 2013 году. Я тогда переезжал из Киева и продавал свой автомобиль. А за Tesla я следил давно и решил купить их акции. Они тогда стоили $145 с тройным плечом (брокерский термин - кредитные средства, которые брокер выделяет для торговли акциями, увеличивая в несколько раз начальную сумму - Ред.).

Дальше они долетели до $250 и сделали мне около 600% прибыли. Потом я их продал. Потом цена снизилась. Я еще раз перезакупился, тоже с тройным плечом - и они опять принесли мне около 300% прибыли.

- А сколько акций вы купили изначально?

- Купил на $15 000.

- В том видео еще говорилось, что деньги от продажи машины были вашими первыми заработанными деньгами. Так и было?

- Нет, конечно. Когда мне было 19 лет, я прошел большой отбор в аудиторскую компанию Delloite, и у нас сразу были щедрые зарплаты - по 830$. Благодаря этому быстро накопил себе на первый взнос на Honda Civic. Потом зарплата еще выросла.

- А на момент покупки акций Tesla сколько вы уже работали в Delloite?

- Получается, 6 лет.

- Но в 2013 году Tesla не была настолько известной компанией, как сейчас. Почему выбрали именно ее?

- За Илоном Маском я слежу давно. Еще до того, как он стал супергероем. С 2010-2011 годов где-то.

- А сейчас у вас есть акции Tesla?

- Немного есть. Какие-то мелочи - 100-200 акций. Но они сейчас болтаются в том же диапазоне - 200-250$.

- А кроме Tesla ничего не покупали?

- Нет, только эта компания.

- После аудиторской четверки вы еще проработали заместителем гендиректора ГП Укринмаш, который в структуре Укроборонпрома. Вы могли бы охарактеризовать работу на этом предприятии тремя словами?

- Аудит... борьба. Даже не борьба, а война, можно сказать…

Когда мы начинали увольнять, генералы и людей били внутри компании. Мы же перекрывали там все потоки, когда пришли. Когда это все происходило, я неделями не спал, переживал. Борьба, война и аудит, наверное.

- Почему ушли?

- Один день стал переломным - когда случился вирус Petya.A. Я несколько дней не спал и понял: кибербезопасность нужна, но развивать ее внутри государства - просто бессмысленно потраченное время.

Можно сделать гораздо больше и гораздо лучше, принося больше пользы государству и не работая на него. Мне очень не нравился темп работы. Я всегда привык работать очень быстро. Именно в тот день я решил создать компанию Hacken. С такой должности, которая у меня была, люди особо не уходят.

О СТРАХЕ, БЕЗЗАКОНИИ И ФОПАХ

- Насколько я знаю, у вашей компании эстонская юрисдикция.

- Совершенно верно.

- Почему? Неужели настолько плохо сейчас регистрировать IT-компании и стартапы в Украине?

- Это рискованно. Просто страшно. Если у тебя украинская компания, то к тебе в любой момент могут прийти и по какой-то выдуманной причине изъять технику. А когда компания эстонская, то ничего не могут забрать.

Но если есть такие лазейки - окей. Значит, такой общественный договор.

- А у вас сейчас есть офис в Эстонии?

- Да, номинальный. Там есть человек, который работает над юридическими и бухгалтерскими вопросами.

- У вашей компании сейчас три основных направления: bug bounty платформа (маркетплейс, на котором вместо различных продавцов товара услуги предоставляют белые хакеры- Ред.), комплексные системы киберзащиты для компаний и рейтинги криптобирж. Верно?

- В принципе, да. Если чуть более правильно, то это bug bounty как тестирование в нашем международном комьюнити хакеров. Там сейчас 1200 активных хакеров. Большая часть - американцы, англоязычные европейцы, Средний Восток. Дальше это cyber security consulting.

Это полный спектр услуг как по пентестам (penetration testing - тестирование на проникновение в систему заказчика, - Ред.), mobile hardware, web applications, так и company security. Мы приходим, смотрим, что есть, разбираемся, как защитить правильно, проверяем на DDOS и другие возможные виды уязвимостей. Третье направление - да, blockchain security. Это отдельный мир.

О ПОРТРЕТЕ БЕЛОГО ХАКЕРА И ИХ ЗАРПЛАТАХ

- Почему так мало украинцев среди белых хакеров?

- Да, их немного, не более 10%, но количество растет. Скажу честно, украинское сообщество специалистов по кибербезопасности строилось годами и оно немного консервативное.

- Это вы о белых хакерах говорите или вообще о всех?

- Обо всех. Но окей, давайте поговорим о белых хакерах. Белый хакер - это парень от 16 до 22 лет. Это очень умные ребята, у которых появился первый компьютер в 10-12 лет. Дальше они играют в игры, ходят по форумам и самообучаются.

Почему наших меньше? Потому что не хватает знаний английского языка. Потому что в основном ты должен обучаться на английском, читать сложные технические книги на английском. Носителям языка банально проще. А книг такого уровня на других языках, кроме китайского, особо нет. Но у нас, безусловно, есть очень много талантливых ребят. Есть много хакеров, которые, не зная английского, тоже делают совершенно уникальные вещи.

- Вы сказали, что возраст хакеров - 16-22 года. А куда они потом уходят?

- Карьера хакера обычно предусматривает три направления. Он становится менеджером и создает свою компанию по оказанию услуг. Либо идет работать руководителем отдела кибербезопасности в какой-то банк, либо еще куда-то. Либо же третье: он пилит свой продукт и пытается его продать или поднять деньги и вместе с кем-то строить компанию.

- А какие преимущества быть белым хакером? Как вы привлекаете специалистов?

- На темной стороне всегда есть шанс быть пойманным. Ошибки допускают даже самые топовые хакеры. Истории про то, как хакеры, даже из Украины, к сожалению, были пойманы - сплошь и рядом.

- Это если они что-то американское взламывают, то да, а если украинское, то кто их особо будет искать...

- Даже у черных и серых хакеров есть кодекс этики, которому они обычно следуют. Например, не взламывать компании в своей стране.

Криптомир довольно опасный.

- Есть ли известные украинские хакеры?

- Не все любят публичность. Одному из самых крутых украинских хакеров 17 лет. И почти все эти люди - self made, но светиться они не хотят.

- Хакеры всегда настолько молодые? А если, например, человек в 40-50 лет решил изменить свою жизнь и стал белым хакером. Такое бывает?

- Таких уже критически мало, но люди, которые меняли профессии в 35, есть. Позже уже сложнее.

- Можно ли самому обучиться?

- Есть пример - мой друг и одногодка. Он сам всему учился где-то в 30 лет и стал прекрасным пентестером. Хотя ранее вообще не был связан с IT.

- Хакеры конкурируют с айтишниками, программистами по зарплате и т.п.?

- Я бы не сказал. Это абсолютно разные сферы.

О ВЗЛОМЕ САЙТА МИДА И ХАКИНГЕ УКЛОНА

- Расскажите алгоритм. К вам обращается компания и говорит: протестируйте, пожалуйста, наши системы. А вы говорите: окей. Дальше в их систему залезают хакеры и ищут там уязвимости. Потом находят - получают вознаграждение. Примерно так?

- Сначала к нам обращаются и мы оцениваем базовый уровень кибербезопасности компании своими силами. Если там много каких-то уязвимостей и ошибок в коде, то мы говорим: вам на bug bounty еще рановато. Если вы сейчас выставите свой продукт, вас просто разорвут и это получится для вас слишком дорого.

Поэтому давайте мы вам сначала сделаем пентест, все проверим и исправим базовые ошибки. А дальше уже можно составлять программу bug bounty. Потом хакеры начинают тестировать все своими уникальными техниками.

- К вам обращается много украинских компаний?

- На украинском рынке продавцу пока что приходится навязывать свою услугу. Компании не понимают, для чего это им нужно. Американский рынок формировался, когда начали лепить серьезные штрафы за утечку данных. В Европе с введением GDPR это только начинается. В Украину это тоже придет. Но пока что фаундеры компаний не видят причин, зачем им нужно тратить деньги на кибербезопасность.

- Даже после того как вирус Petya.A прошел?

- Была волна полгода, что-то кто-то потратил - и все опять заглохло. Поэтому нужно обучать, иногда устрашать, пугать. Имею в виду, статьями какими-то, семинарами, медиаконтентом. Ну и активно продавать надо.

У нас есть клиенты из мобайл-банкинга, e-commerce, служб такси. Очень хорошо работает сарафанное радио.

- Кого вы можете озвучить из клиентов?

- Точно Uklon могу озвучить. Они были очень довольны.

- Криптобиржа KUNA - тоже ваш клиент?

- Да. Есть еще банки, но они не хотят, чтобы о них говорили. Есть еще e-commerce площадки.

- Вы работаете с Монобанком?

- Мы бы хотели, но пока нет. В процессе переговоров.

- То есть украинский рынок пока не очень интересен?

- Украинский рынок нам, с одной стороны, интересен, а с другой стороны, количество затраченных сил на одного клиента и количество полученных денег несоизмеримо с чеками, которые у нас есть на азиатских рынках.

- А какие чеки на этих рынках?

- В Украине, например, стандартный пентест стоит $2-3 тысячи, в Европе он продается за $6-7 тысяч. В США - $15 тысяч.

- За ту же самую работу?

- Та же самая работа. А в Азии на определенных рынках он может работать и за $20 000.

- Сколько сейчас украинские компании платят хакерам за найденные уязвимости?

- В основном хакерам платят от $50 за мелкую уязвимость, до $1500-2000 за критическую уязвимость. По меркам Европы это небольшие суммы.

- Как вы зарабатываете на белом хакинге?

- Наш доход с bug bounty - это setup fee: чтобы эту программу начать, компания платит нам от 5 до 10 тысяч долларов и 20% - это стандарт - от бюджета на найденные уязвимости.

- А как площадки конкурируют между собой? Вы понижаете ставку, меньше денег просите?

- У кого больше клиентов - туда хакеры обычно и идут. По удобству тоже есть нюансы. Есть те, кто платит хакеру моментально, другие платят больше, третьи высылают сувенирку (все хакеры очень ее любят), приглашают их куда-то.

- Расскажите какой-то интересный случай с украинскими компаниями. Был кейс с Киевстаром, когда он хотел заплатить $50 за найденную критическую уязвимость. Были ли другие подобные случаи скупердяйства или наоборот щедрости?

- Говорить можно об Uklon. Мы тестировали эту компанию во время хакинг-капа. Тогда собрались около 30 хакеров со всего мира. За 8 часов они нашли в сервисе около 90 багов.

- Украинским паспортам?

- Да. Мы отправили этот баг в министерство, они быстро его пофиксили и сказали “спасибо большое”. Визу оформили, предложили с ним встретиться и вручить ему сертификат, но он не захотел идти к госорганам. Этот же непалец нашел самую крутую багу Uklon. Причем сделал это за первых полчаса.

- А какое вознаграждение он получил?

- Около $1500.

- Были еще какие-то приколы с госструктурами, кроме МИД?

- Если нет публичной bug bounty и ты что-то нашел, это можно классифицировать как несанкционированный взлом. Могут быть проблемы. Играться на украинских веб-ресурсах - такое себе удовольствие. Ввиду ограниченности ресурсов мы больше концентрируемся на международных клиентах.

- То есть там, где есть деньги, вы и работаете?

- Да. Мы один раз продвигали идею использования bug bounty платформ для государства с компанией BRDO. Нам говорят: “Окей, давайте начинать тестировать сайты госструктур”. Но потом встал вопрос: кто будет платить хакерам за найденные уязвимости? Они говорят: вы и будете платить. А нам это зачем? “Мы же не можем, здесь нужно тендер проводить”, - ответили нам. Я говорю: окей, понятно, тогда нам это не интересно.

О ТОМ, ЧТО БУДЕТ С КРИПТОЙ, УМЕРЛО ЛИ ICO И ЛАЙФХАК ОТ КИТАЙЦЕВ

- Хотел еще об ICO вас спросить. В свое время вы привлекли около $4 млн.

- Я считаю в биткоинах и эфириуме: 250 "битков" и 5200 "эфира".

- Вы сразу продали эти криптовалюты?

- Нет.

- Почему? Как раз же был пик, все росло.

- Мы тратили согласно нашим потребностям.

- То есть вы и сейчас не все потратили и у вас есть запас биткоинов?

- Конечно. Все, что обещали, мы сделали. Мы построили бизнес-модель, которая генерирует доходы. Ту часть, которая у нас осталась, мы начали вкладывать в развитие других продуктов.

- Я, возможно, не до конца понимаю всю систему, но вы выпустили свою криптовалюту, токены - и люди ее купили. Сколько она сейчас стоит ?

- Если считать к битку и “эфиру”, то она стоит где-то столько же, за сколько они и покупали ее в ноябре. Если считать к доллару, то те, кто успел продать, когда криптовалюта росла, могли заработать до 700%. Но сейчас она упала где-то в 3 раза от цены ICO к доллару.

- Но сейчас она растет с развитием компании или нет?

- Этот рынок еще очень незрелый. Сейчас в крипте около 2500 разных монет. Но именно сейчас их бизнес-модели будут проверяться на прочность.

- Должно все устаканиться и остаться, например, 20 криптовалют?

- Да, все будут умирать. Я даже сделал опрос в своем твиттере.

В 2019 году начнется глобальный аудит проектов: что у них есть, какие активы, какие бизнес-модели, какие доходы, тогда и начнется корреляция оценки проектов со стоимостью проектов.

И тогда криптопроекты, у которых нет идеи или которые растратили привлеченные деньги, будут умирать. А те, у кого есть готовые продукты и доходы, будут выбираться наверх.

- Сейчас все, с кем ни пообщаюсь, говорят, что ICO умерло, никто уже не будет ничего делать. А вы как на это смотрите?

- ICO как метод краудфандинга, скорее всего, если не умерло, то надолго затихло. Потому что будет еще ISTO - когда уже готовые бизнесы будут предлагать миру свою монету, которая будет выполнять какую-то функцию. И у них уже есть готовая бизнес-модель. Туда будут заходить деньги, в основном американские - венчуров и институционалов. Туда, возможно, даже не будут пускать простых смертных.

Что это вообще такое было - ICO? Это когда люди резко подняли деньги на росте “эфира” (когда он вырос с 40 до 200, потом с 200 до 500, потом с 500 до 1200 - три пика). В основном инвестиции заходили именно в “эфире”. Когда человек видел: “О, я сделал 200% на эфире! А что тут за ICO-шки есть? Я сейчас разбросаю еще и столько же сделаю”. На этом люди и прогорали.

- Как вы считаете, что будет дальше? Есть такое мнение, что в связи с тем, что некоторые страны забанили биткоин…

- Не забанили, ничего подобного.

- Серьезно?

- Весь торговый оборот с Китаем огромными темпами переходит в криптовалюту. Об этом никто не говорит, потому что это непопулярно. Но это теневая экономика, которая появилась.

- То есть это теневые расчеты?

- Да. Китайцам удобно, торговцам удобно. Ничего не светишь, налоги не платишь. Товар отгрузил, прописал что-то - всё. Самые большие обороты крипты происходят с Китаем за покупку товаров. За секунду отправляешь с телефона на телефон. В Китае можно без проблем все обналичить.

- Как дальше будет развиваться эта ситуация? Какой объем этих операций?

- Очень сложно оценить, сколько крипты переходит каждый день. Может, спецслужбы и отслеживают.

Как будет развиваться? Я считаю, что нет ничего сверхъестественного, если мир перестанет использовать доллар, как резервную валюту. Человечество уже тысячу раз такое делало. Бреттон-Вудское соглашение случилось совсем недавно - в 1944 году. Тогда взяли и заменили золото на бакс. Это мы сейчас в учебниках читаем. А это была полная революция финансового мира. И это была революция не в более удобную систему, а в более закрытую, непрозрачную, с выгодой для одних.

Я лично верю, что рано или поздно человечество точно откажется от доллара. В пользу чего? Лично я считаю, что если взять и заменить бакс на биток, все от этого только выиграют.

- Кроме банков, наверное.

- Да и то. Банки будущего - не биржи ли? Им сейчас не хватает прозрачности, но они могут выполнять эту функцию вообще без проблем. И роль у банков какая? Обеспечение транзакций и прозрачности, выдача кредитов и накопление депозитов. Так это уже давным-давно умеет крипта.

А что еще? Это глобальный кастодиан (тот, кто безопасно хранит чьи-то деньги по поручению). Если посмотреть верхнеуровнево, чем сейчас занимаются основные капиталы в криптомире - они все создают суперзащищенные кастодианы.

- Это все хорошо, но банки же будут против...

- Банки просто возглавят это.

- Пока этого не видно.

- Нужно понимать, что это и вопрос поколений. Горизонт планирования глобальных изменений - точно не 1 и не 2 года. Это 10 лет.

О ВНЕДРЕНИИ КРИПТОГРИВНИ И АНАЛИЗЕ КРИПТОБИРЖ

- Что скажете по криптогривне?

- Хороший проект.

- Государство пока не очень смотрит на него. Михаил Чобанян что-то пробует в одиночку.

- Этот проект уже давным-давно сделан, и Чобанян пушил его с небезразличными и очень умными людьми в НБУ. А там работают прямо самородки. Все готово, разработано, уже даже посчитано, сколько это сэкономит средств, сколько это даст новых налогов. Проект прекрасный.

- То есть не хватает политической воли? Если новый президент скажет “вводим”, его введут?

- Да. Именно так.

- Я видел огромную цифру - что-то вроде 70 млрд грн сэкономит внедрение криптогривни. Но так и не понял, каким образом.

- Тоже скептически отношусь к такой цифре. Но то, что это позволит урезать определенные косты, которые несет государство, более эффективно собирать налоги и отслеживать операции - это точно. Я всегда мыслю категориями “что есть” и “что может быть”. И смотрю выгоды по сравнению с затраченными усилиями. НБУ посчитал выгоды, но еще не посчитал затраченных усилий.

- Юлия Тимошенко на своих съездах тоже говорит о крипте и блокчейне...

- Она говорит не то, что думает, а то, что понравится целевым группам. Для каждой аудитории у нее месседж. Она хорошо освоила таргетируемую рекламу. Я, слава богу, Facebook удалил. Instagram у меня никогда не было, так что реклама не мешает. Перешел в Twitter.

- Еще очень интересна штука с рейтингами криптобирж. Как вы оцениваете безопасность биржи? Как изучаете, если она американская?

- Из публичных данных можно сделать много выводов. Мы разработали тест публичных данных из 15 или 16 вещей, которые нужно сделать. И сравниваем по этим параметрам.

- И сколько у вас бирж в списке?

- Сейчас мы добавляем все биржи, потому что сфокусировали наш рейтинг на балансах бирж. Биржа - это черная дыра криптомира. Никто не знает, что там происходит, кому они принадлежат, сколько у них денег находится, насколько они безопасны, что они с этими деньгами делают, что происходит со спредами внутри. Там все очень грязно, просто непаханое поле.

Мы сконцентрировали все наши усилия, чтобы проаудировать балансы бирж - сказать, сколько какой бирже принадлежит денег. И от этого уже можно идти на следующий этап. Когда ты будешь знать, сколько денег, сможешь смотреть оборот (репорты, которые тоже далеко не всегда настоящие). Дальше уже можно делать более хорошую аналитику.

- Как вы будете зарабатывать с помощью этой штуки?

- Реклама. Главная задача - получить реферальный трафик от больших чуваков наподобие CoinMarketСap. Я знаю, что EtherScan - это мои друзья - прекрасно себя чувствуют просто на рекламе. EtherScan - это главный блок-эксплорер сети “эфира”.

Сначала мы аудируем балансы бирж бесплатно, потом платно. Хочешь подтвердить свой баланс? Окей, мы начинаем работать. Говоришь, какие кошельки твои, мы сбрасываем адреса, на которые ты должен скинуть сатоши. Скинул сатоши, подтвердили. Провели по chain analysys, посмотрели, нет ли грязных битков. Все, подтвердили.

Да, и сертификат не только по аудиту баланса, но и по кибербезопасности, ликвидности и по комьюнити - сколько у тебя на самом деле трейдеров.

- То есть у нас в Украине будет такая себе SMP или Moody’s, только относительно криптобирж?

- Чтобы стать SMP или Moody’s, нужны десятки лет. Вариантов развития несколько. Либо мы идем и становимся сервис-провайдером для CoinMarketCap - чтобы под их брендом получить доверие. Либо являемся менеджинг-партнером, которые организовывают Coin MarketCap, EtherScan и другие chain analysys компании. Либо мы идем, делаем этот репорт и партнеримся с государством или большой четверкой. С одной стороны, это чуть более сложно, с другой - кому-то подходит.

Например, у меня есть контакты, как презентовать это президенту Кипра. Либо же верхушкам Большой Четверки. По обоим направлениям мы работаем, но наша задача - сделать цифры, дать результат. Результат, который еще никто не делал и которого сложно добиться, - получить баланс всех бирж. Когда у нас будут балансы, будет на 80% аккуратный репорт, дальше - дело техники.

- Какой у компании годовой доход?

- В прошлый год мы сделали больше миллиона долларов. Где-то $1,5 млн.

- А рост большой?

- Компания, которая продает cyber security услуги из Украины на $100 000 в месяц - это довольно много. Рост? Мы начинали с $30-40 тысяч в месяц в феврале-марте, потом было 80, доходило до 150, один месяц было 180. Держимся выше 100 каждый месяц. А рост зависит от команды продажников.

- Большинство людей за моей спиной - продавцы?

- Нет, большинство как раз технари, маркетологи, продакт-маркетологи и аналитики. Продавцов у нас 5-6, и мы понимаем, что здесь нужно развиваться. По продажам тоже два направления.

Первое - это через сеть партнеров, у которых уже есть в своих регионах связи и которым мы добавляем услугу bug bounty. В Азии еще не знают, что это такое, и с удовольствием нас перепродают.

Второе - аутсорс сейлз-команды. Это 30-40 человек сидят на телефонах, имейлах и бомбардируют прямо всех.

- Выходит, вы как IT аутсорсинговая компания, которая заточена под кибербезопасность и блокчейн?

- Мне больше нравится слово не аутсорс, а professional service firm.