De digitale wapenwedloop vindt niet langer plaats in afgesloten militaire laboratoria, maar op een uiterst lucratieve, deels ondergrondse markt. Centraal in deze handel staan zero-days: softwarefouten die nog niet bekend zijn bij de fabrikant, waardoor er nog nul dagen de tijd is geweest om een beveiligingspatch te ontwikkelen.
Waar het ontdekken van zo’n lek vroeger een kwestie was van intellectuele eer of een bescheiden ethische beloning (bug bounty), is het vandaag de dag een miljoenenindustrie. Overheden, inlichtingendiensten en private surveillancebedrijven betalen astronomische bedragen voor exclusieve toegang tot deze digitale breekijzers. Maar wie controleert deze schimmige markt, en wat zijn de risico’s voor de mondiale cybersecurity?
Van ethische hacker naar de hoogste bieder
De markt voor zero-days is grofweg op te delen in drie segmenten:
- De witte markt: Hackers melden kwetsbaarheden rechtstreeks aan de fabrikant (zoals Microsoft, Apple of Google) of via officiële bugbounty-platforms. De beloningen zijn netjes, maar kennen een plafond.
- De zwarte markt: Cybercriminelen en ransomware-bendes verhandelen lekken op het darkweb om direct financieel gewin te behalen via diefstal of chantage.
- De grijze markt: Dit is waar de echte commercialisering toeslaat. Legitieme broker-bedrijven (zoals Zerodium of Crowdfense) en defensiecontractanten kopen zero-days op van onafhankelijke onderzoekers. Zij verkopen deze vervolgens exclusief door aan overheidsinstanties, inlichtingendiensten en ‘geaccrediteerde’ private partijen.
Op deze grijze markt worden de prijzen opgedreven tot stratosferische hoogten. Een zero-day exploit die volledige, ongemerkte toegang geeft tot een up-to-date Android- of iOS-toestel (remote code execution zonder interactie van de gebruiker) kan moeiteloos 2 tot 5 miljoen dollar opleveren.
De paradox van overheidsbelangen
Hier wringt de schoen op ethisch en strategisch vlak. Overheden hebben een dubbelrol: enerzijds moeten ze hun burgers, kritieke infrastructuur en bedrijven beschermen tegen cyberdreigingen. Anderzijds willen inlichtingendiensten en defensie zélf offensieve capaciteiten hebben om te spioneren of vijanden te neutraliseren.
Wanneer een overheid (of een broker die aan overheden levert) een zero-day opkoopt, wordt de fabrikant bewust niet ingelicht. Het lek blijft openstaan. De paradox is angstaanjagend: om een offensief wapen achter de hand te houden, accepteren overheden dat de rest van de wereld — inclusief hun eigen burgers en vitale sectoren — kwetsbaar blijft voor exact ditzelfde lek, mocht een kwaadwillende partij het onafhankelijk ontdekken.
De realiteit van “wapensystemen”
In tegenstelling tot conventionele wapens, kunnen digitale wapens worden gekopieerd, onderschept of hergebruikt. Zodra een zero-day exploit ‘in het wild’ wordt ingezet, kan een tegenstander de code analyseren en als een boemerang teruggooien.
Private surveillance en het lekken van controle
De commercialisering heeft geleid tot de opkomst van commerciële spionagebedrijven. Beruchte voorbeelden zoals de NSO Group (bekend van de Pegasus-spyware) laten zien wat er gebeurt als deze markt aan de marktwerking wordt overgelaten. Spyware, aangedreven door ingekochte zero-days, werd verkocht aan regimes die het vervolgens inzetten tegen journalisten, mensenrechtenactivisten en politici.
De claim dat er “alleen aan bonafide overheden voor terrorismebestrijding” wordt geleverd, is in de praktijk flinterdun gebleken. Zodra winstbejag de primaire drijfveer wordt achter het exploiteren van softwarekwetsbaarheden, vervaagt de morele grens in hoog tempo.
Wie controleert de digitale wapenhandel?
Het korte antwoord luidt: vrijwel niemand.
Hoewel er internationale verdragen zijn, zoals het Wassenaar Arrangement (dat de export van dual-use goederen en cybertechnologie probeert te reguleren), lopen deze hopeloos achter de feiten aan. Softwarecode laat zich immers niet gemakkelijk stoppen bij een fysieke grens. Een exploit kan via een versleutelde chat of een USB-stick in een diplomatieke koffer binnen een seconde de wereld rondreizen.
Bovendien ontbreekt het aan transparantie. Transacties op de grijze markt vinden plaats achter waterdichte NDA’s (non-disclosure agreements). Welke overheid wat koopt, en bij wie, blijft grotendeels in de schaduw.
Een onhoudbare status quo
De commercialisering van zero-days heeft van cybersecurity een geopolitiek speculatiespel gemaakt. Zolang een onbekend softwarelek miljoenen waard is op de grijze markt, zullen de knapste koppen in de techwereld gestimuleerd worden om defensieve systemen te verzwakken in plaats van ze te versterken.
Het reguleren van deze markt is een van de grootste uitdagingen van onze digitale tijdperk. Het vereist strengere internationale wetgeving op de export van surveillance-tech, harde sancties voor malafide brokers, en een heroverweging van de prioriteiten van overheden: nationale veiligheid begint bij een waterdichte verdediging voor iedereen, niet bij het hamsteren van digitale bommen onder het tapijt.
