Τα τελευταία χρόνια παρατηρείται ένα φαινόμενο που δεν ήταν συνηθισμένο. Μέχρι πριν λίγο καιρό, είχαμε συνηθίσει να γίνονται cyberattacks από hackers και μετά το εκάστοτε θύμα να έχει να αντιμετωπίσει τις συνέπειες της επίθεσης. Σήμερα, αυτό που έχει αλλάξει είναι ότι πολλές φορές μετά από κάποια επίθεση ακολουθεί και η αντεπίθεση. Αυτό σημαίνει, ότι το θύμα πραγματοποιεί και εκείνο cyberattacks εναντίον των αρχικών θυτών και προκαλείται ένα αέναο cyberwarfare.
Αξίζει να αναφερθεί, ότι ήδη έχει δημιουργηθεί και προταθεί νόμος με τίτλο Active Cyber Defense Certainty Act. Θα επιτρέπει στις εταιρείες που έχουν πέσει θύματα hackers να αντεπιτεθούν. Επί του παρόντος αυτή η νομοθεσία είναι ακόμη υπό συζήτηση στο Κογκρέσο.
Έτσι δημιουργήθηκε αγορά για ευπάθειες και cyberweapons και είναι ήδη εξαιρετικά ανταγωνιστική. Τα zero-day ελαττώματα αξίζουν έως και 2 εκατομμύρια δολάρια. Μια τέτοια εταιρεία, που εμπορεύεται τέτοια προϊόντα είναι η Zerodium, που ισχυρίζεται ότι πουλάει exploits μόνο σε νόμιμες κυβερνήσεις. Εννοείται οι underground αγορές είναι ακόμα πιο επικερδής.
Ο γενικός κανόνας της αγοράς είναι ότι τα ζητήματα ευπάθειας που πληρούν συγκεκριμένα κριτήρια και αναζητούνται, προϋποθέτουν μεγάλα ποσά. Όσο περισσότερα συστήματα ή συσκευές επηρεάζουν, τόσο μεγαλύτερη είναι η τιμή. Για να αποκομίσουν ακόμα περισσότερα κέρδη, αυτοί που πωλούν τέτοια χαρακτηριστικά, δεν τα πωλούν πάντοτε σε ένα μόνο χρήστη. Εάν ένας αγοραστής επιθυμεί αποκλειστικότητα, η τιμή ανεβαίνει ακόμη περισσότερο.
Πλέον, έχει προβληθεί και μια άλλη μορφή αυτής της αγοράς. Το cybercrime-as-a-service, ουσιαστικά δίνει στους cybercriminals την δυνατότητα να μοιραστούν με άλλους την ευπάθεια, χωρίς να τους την πωλούν.
Φυσικά, δεν είναι μόνο το κόστος αγοράς ενός cyberweapon που πρέπει να ληφθεί υπόψη. Οι συνέπειες αυτών των τρωτών σημείων είναι μεγίστης σημασίας. Για παράδειγμα, πάρτε την υπόθεση του EternalBlue, της ευπάθειας της Microsoft που εντοπίστηκε από την NSA το 2011. Τότε η NSA δεν γνωστοποίησε το πρόβλημα στην εταιρεία, παρά μόνο όταν μια εταιρεία hacking, η Shadow Brokers απείλησε να δημοσιεύσει τα αντίστοιχα αρχεία. Τελικά η Microsoft έμαθε για το EternalBlue τον Μάρτιο του 2017. Σε εκείνη τη φάση είχε ήδη ξεσπάσει το ransomware WannaCry, εκμεταλλευόμενο το EternalBlue. Αυτές οι επιθέσεις είχαν ανυπολόγιστο κόστος. Όλα δείχνουν, ότι οι συνέπειες του EternalBlue, δεν έχουν τελειώσει ακόμη.
Η Cybersecurity Ventures, στην ετήσια Έκθεση για το cybercrime το 2019, προβλέπει ότι το οικονομικό έγκλημα θα κοστίσει 6 δισεκατομμύρια δολάρια παγκοσμίως μέχρι το 2021, καθώς τα cyberattacks συνεχίζουν να αυξάνονται σε μέγεθος, πολυπλοκότητα και κόστος.
Οι κυβερνήσεις, με την απόκτηση cyberweapons για δική τους χρήση και το αυξανόμενο άνοιγμα τους στην ιδέα ότι οι εταιρείες θα πρέπει να είναι σε θέση να αντεπιτεθούν έναντι των θυτών, προωθούν μια underground αγορά που κοστίζει ήδη στην κοινωνία.
