Jedan startup koji se bavi kibernetičkom bezbednošću nudi milionske iznose za otkrivanje zero-day sigurnosnih ranjivosti u popularnim softverima. Ovu firmu vode kontroverzni pojedinci, uključujući osuđene prestupnike, koji su prethodno vodili fiktivne kompanije i platforme za lobiranje koje su se oslanjale na lažne identitete.
Na društvenoj mreži X (bivši Twitter), nalog IRIS C2 (@C2IRIS) je stekao više od 4.000 pratilaca od svog osnivanja u januaru 2025. godine, redovno objavljujući sadržaje o sigurnosnim ranjivostima i AI eksploatacijama. IRIS C2 se predstavlja kao kompanija iz McLeana, Virginia, koja prodaje ofanzivne kapacitete u oblasti kibernetičke bezbednosti.
IRIS C2 nudi mogućnost milionskih nagrada za otkrivanje ranjivosti kako bi privukli talente.
U jednom od svojih postova, IRIS C2 objašnjava svoj poslovni model: „Privlačimo najbolje istraživače ranjivosti i developere eksploatacija na svetu. Ne zanima nas njihovo obrazovanje ili iskustvo.“ Njihova web stranica irisc2[.]com traži nove zaposlene i ističe da su primili veliki broj prijava.
Na portalu za vladine ugovore g2exchange.com, izveštava se da je irisc2[.]com u vlasništvu kompanije Calvexa Group LLC. Ova kompanija se koristi za privlačenje klijenata iako nema direktne vladine ugovore.
Adresa registrovana za Calvexa Group vodi do Jacka Burkmana, osnivača lobističke firme Burkman & Associates. Kada su postavljena pitanja o IRIS C2, Burkman je preusmerio dalje upite na svog dugogodišnjeg saradnika, Jacoba Wohla.
Jack Burkman (levo) i Jacob Wohl na press konferenciji u avgustu 2020.
Burkman i Wohl imaju bogatu istoriju stvaranja lažnih kompanija i širenja neistina o javnim ličnostima. Njihovi prethodni poduhvati uključuju lažne optužbe i kampanje dezinformacija, a obojica su procesuirani zbog lažnih robokola koji su imali za cilj suzbijanje glasova u ključnim državama tokom izbora 2020. godine.
U 2022. godini, obojica su se izjasnila krivima za prevaru u telekomunikacijama i kažnjeni su novčano, uz uslovnu kaznu i društveni rad. FCC je u junu 2023. godine izrekao kaznu od 5,1 miliona dolara zbog njihovih robokola, što je u to vreme bila najveća kazna ikada izrečena od strane FCC-a.
Tržište za ranjivosti koje nisu ranije bile poznate je raznoliko, ali tržište za prodaju ofanzivnih bezbednosnih usluga vladi je daleko opreznije. Iako mnogi vladini izvođači angažuju istraživače ranjivosti, nijedna kompanija to ne radi tako otvoreno kao IRIS C2.
Poslednje objave sa Twitter/X naloga IRISC2.
KrebsOnSecurity nije bio upoznat sa IRIS C2 sve do prošlog meseca, kada je jedan učesnik na regionalnoj konferenciji o kibernetičkoj bezbednosti podelio informacije o tome kako su Burkman i Calvexa Group pokušavali da prodaju svoju istraživanja ranjivosti.
U intervjuu, Wohl je izjavio da Burkman nije uključen u svakodnevno poslovanje IRIS C2 i da je fokus kompanije prešao sa testiranja penetracije na prodaju usluga hakovanja telefona vladi. Iako je spomenuo rad na vladinim ugovorima, nije mogao da iznese detalje.
Wohl se hvali svojim znanjem o tehnologiji, iako nije imao formalno obrazovanje u tom polju. „Znam više o tehnologiji od bilo koga“, rekao je. „Moj background je uvek bio veoma tehnički i duboko sam zainteresovan za tehnologiju.“
IRIS C2 navodno zapošljava oko 40 radnika, ali se nijedan ne može javno predstavljati kao zaposleni iz bezbednosnih razloga. Da li su zaposleni svesni prošlosti Wohla i Burkmana ostaje neizvesno.
