Hacker a pagamento e hacker etico: dove trovarli

“Dove posso trovare un hacker?” è una domanda che migliaia di persone fanno a Google ogni mese.

E ha due risposte, molto diverse tra loro. La prima: sì, gli hacker a pagamento esistono, si trovano nel dark web e ormai anche su canali alla luce del sole — ma chi ci prova finisce quasi sempre truffato, e commette un reato anche solo provandoci. La seconda, che quasi nessuno conosce: esiste un hacker che si può assumere legalmente, fattura regolarmente e lavora per difendere invece che per attaccare. Si chiama hacker etico.

In questo articolo le percorriamo entrambe: come funziona davvero il mercato nero dei servizi hacking, cosa succede a chi prova a comprarli, e chi è — e quanto è diverso — l’hacker che le aziende ingaggiano per mestiere.

1. Chi è davvero un hacker (e perché non sono tutti criminali)
2. Dove si trovano gli hacker a pagamento
3. La verità su chi prova ad assoldarne uno: truffe e reati
4. L’hacker che si può assumere legalmente: l’hacker etico
5. Pensate di essere stati attaccati? Cosa fare
6. Proteggersi prima: le difese che contano

Chi è davvero un hacker (e perché non sono tutti criminali)

Nel linguaggio comune “hacker” è diventato sinonimo di criminale informatico, ma la parola nasce con un significato diverso: indica chi possiede una conoscenza profonda dei sistemi e la capacità di trovarne i punti deboli. È l’uso che se ne fa a tracciare il confine. Il criminale informatico — tecnicamente un black hat — sfrutta quelle capacità per violare sistemi, rubare dati e rivenderli; l’hacker etico (white hat) usa le stesse identiche tecniche, ma su incarico e con autorizzazione di chi possiede i sistemi, per scovare le falle prima che lo faccia qualcun altro.

Questa distinzione non è un tecnicismo: è la risposta alla domanda del titolo. Perché “trovare un hacker” è possibile in entrambe le direzioni — e una delle due è legale, regolamentata e molto più efficace di quanto si immagini.

Dove si trovano gli hacker a pagamento

Il mercato dei servizi hacking illegali esiste, ed è più accessibile di quanto si pensi. Il suo habitat storico è il dark web — la porzione di rete raggiungibile solo con software dedicati, di cui abbiamo parlato nella guida su cos’è il dark web — dove marketplace specializzati espongono listini per violazioni di profili social, account email, dispositivi. Ma la concorrenza tra criminali ha spinto l’offerta anche alla luce del sole: canali Telegram, forum, persino siti in chiaro che si presentano come “servizi di recupero account”. Il fenomeno è diventato una vera industria, quella del cybercrime-as-a-service: il crimine informatico confezionato come un servizio in abbonamento, con assistenza clienti e recensioni.

Fin qui la fotografia. Ma è la parte successiva quella che dovreste leggere con più attenzione.

La verità su chi prova ad assoldarne uno: truffe e reati

Chi cerca un hacker a pagamento di solito immagina il rischio sbagliato: teme di farsi scoprire. Il rischio reale, statisticamente, è un altro — farsi truffare. Il mercato dei servizi hacking è infestato di finti hacker che incassano l’anticipo e spariscono, di “listini” che sono esche costruite apposta, di sedicenti professionisti che dopo il primo pagamento chiedono il secondo per “sbloccare il lavoro” e poi il terzo. E la vittima di questa truffa non può fare nulla: non si denuncia un fornitore per non aver portato a termine un reato. Chi paga un hacker e viene raggirato ha perso i soldi due volte — quelli versati, e qualsiasi possibilità di rivalersi.

Per chi invece trova un criminale “serio”, il quadro è perfino peggiore: commissionare una violazione è un reato. L’accesso abusivo a un sistema informatico è punito dall’articolo 615-ter del codice penale, e chi commissiona risponde insieme a chi esegue — al concorso nel reato si aggiungono, a seconda dei casi, il trattamento illecito di dati e le fattispecie collegate. Violare il profilo del partner, “recuperare” un account altrui, far sparire una recensione: tutto materiale da procedimento penale, con l’aggravante che il criminale pagato conserva le prove del vostro incarico — e i casi di ricatto verso gli stessi committenti non sono rari.

In sintesi: la risposta onesta a “dove trovo un hacker a pagamento” è che, ovunque lo troviate, il finale più probabile è una truffa subita, un reato commesso, o entrambi.

L’hacker che si può assumere legalmente: l’hacker etico

Esiste però un modo perfettamente legale di mettere un hacker al lavoro, ed è quello che le aziende fanno ogni giorno. L’hacker etico è un professionista certificato che attacca i sistemi su incarico del loro proprietario: stesso arsenale tecnico di un criminale — ricognizione, exploit, scalata dei privilegi — ma dentro un perimetro autorizzato per contratto, con l’obiettivo di documentare le falle invece di sfruttarle.

È il motore di servizi come il Penetration Test, in cui un team di hacker etici simula un attacco reale contro l’infrastruttura di un’azienda per scoprire da dove passerebbe un attaccante vero, e il Vulnerability Assessment, la scansione sistematica delle vulnerabilità. Per chi vuole farne una professione, esistono percorsi e certificazioni riconosciute (CEH, OSCP tra le più note) — ed è una delle figure più richieste del mercato del lavoro tecnologico.

La differenza con il mercato nero sta tutta in tre parole: autorizzazione, contratto, report. L’hacker etico firma un accordo che definisce cosa può attaccare e come, e consegna un report di ciò che ha trovato. Il criminale a pagamento non firma niente — e infatti, come visto, di solito sparisce con l’anticipo.

Pensate di essere stati attaccati? Cosa fare

Molti arrivano a cercare “un hacker” dopo aver subito qualcosa: un account violato, un profilo rubato, un sito compromesso. La tentazione di combattere il fuoco col fuoco è comprensibile, ma è esattamente il percorso che porta alle truffe della sezione precedente — e non serve: per ogni scenario esiste una strada legale più efficace.

I segnali tipici di una compromissione: accessi che non riconoscete, password che risultano cambiate, messaggi inviati a vostro nome, dispositivi improvvisamente lenti o con traffico anomalo, amici che ricevono richieste strane dai vostri profili. Se vi ci ritrovate, i primi passi sono sempre gli stessi: cambiare subito le password dai canali ufficiali di recupero (mai da link ricevuti), attivare l’autenticazione a due fattori, scollegare le sessioni attive, e avvisare banca o piattaforme coinvolte. Per i casi di furto di dati personali abbiamo scritto una guida passo passo sul furto d’identità, e per i reati informatici la denuncia si presenta alla Polizia Postale — che è l’unico “hacker buono” con poteri d’indagine veri.

Proteggersi prima: le difese che contano

L’ultima verità di questo articolo è la meno spettacolare: la maggior parte delle violazioni non richiede un hacker geniale, sfrutta difese assenti. Password riutilizzate, autenticazione a due fattori mai attivata, link cliccati di fretta — è da lì che passa quasi tutto, come raccontiamo spesso su queste pagine, dal sospetto spam in giù. Le contromisure di base — password uniche gestite da un password manager, due fattori ovunque, aggiornamenti installati, diffidenza verso l’urgenza — eliminano da sole la gran parte del rischio che spinge le persone a cercare soluzioni disperate.