Økonomien bak en nulldagssårbarhet

Hvordan en enkelt hemmelig sikkerhetsfeil får en pris, hvem som betaler, og hvorfor beløpet stadig stiger.

Joakim Nordheim Larssen

En nulldagssårbarhet er en sårbarhet leverandøren ennå ikke kjenner til. Dermed finnes det ingen sikkerhetsoppdatering, og ingen er beskyttet mot den. Tidsrommet mellom at en feil finnes og at en rettelse finnes, er selve produktet. Det er også et av verdens merkeligste markeder: Den samme feilen kan være verdt femten tusen dollar eller sju millioner, avhengig av hvem du selger den til, og hva de har tenkt å bruke den til.

Det meste av omtalen er enten opphauset («hackere selger eksploiter for millioner») eller moraliserende («spionvareindustrien er ond»), og ingen av delene forklarer hvordan prisen settes. Påstanden min er denne: En nulldagssårbarhet prises som en offensiv kapasitet som taper verdi over tid, er hemmelig og er eksklusiv. Nesten alle beløpene i dette markedet følger av disse fire egenskapene.

Tre markeder, én feil

Alle som sitter på en fungerende eksploit, står overfor et veivalg: selge hvitt, grått eller svart. Valget handler først og fremst om hvorvidt feilen blir rettet [1].

Det hvite markedet består av leverandørene og konkurransene som forsyner dem med funn. Apple, Google og Microsoft har belønningsprogrammer for sikkerhetsfeil; Trend Micros Zero Day Initiative arrangerer Pwn2Own. Du leverer fra deg feilen, den blir offentliggjort og rettet, du får lovlig betalt, og betalingen er den laveste av de tre [1][2]. Det avgjørende kjennetegnet er at salget ditt ødelegger verdien: I det øyeblikket leverandøren får vite om feilen, begynner nedtellingen til en rettelse.

Gråmarkedet snur dette på hodet. Du selger eksklusivt til én kjøper, vanligvis en megler eller en stat, og feilen blir bevisst holdt hemmelig og bevart for overvåking eller offensiv bruk. Det er her Zerodium, Crowdfense og Operation Zero holder til. Salget innleder perioden feilen kan utnyttes, i stedet for å avslutte den. Derfor overbyr gråmarkedet det hvite markedet for alle feil som er avhengige av hemmelighold for å beholde verdien.

Svartemarkedet er dårligst dokumentert fordi det er minst organisert: ulovlige salg til kriminelle grupper, ingen som går god for handelen, ingen depotordning og intet omdømme å beskytte [3]. Gråmarkedet og svartemarkedet betaler mange ganger mer enn det hvite markedet for nøyaktig den samme feilen, nettopp for at resten av oss skal forbli ubeskyttet.

Meglerne og de faktiske beløpene

Gråmarkedets mest synlige ansikt utad var i mange år Zerodium, grunnlagt i 2015 av Chaouki Bekrar, som også hadde vært med på å grunnlegge det franske eksploitselskapet VUPEN [31]. Modellen er enkel: Kjøp eksklusive nulldagssårbarheter fra sikkerhetsforskere, og selg dem videre i hemmelighet til statlige kunder.

Se hvordan belønningen for iOS steg. I 2015 tilbød Zerodium rundt 1 million dollar for en iOS 9-eksploit [4]; innen september 2016 hadde selskapet tredoblet dette til 1,5 millioner dollar for en fjernstyrt jailbreak av iOS 10 [16]; i 2019 hevet det taket til 2 millioner dollar for en fjernstyrt nullklikk-jailbreak av iOS som overlever omstart (offeret trenger verken trykke eller gjøre noe annet) [17]. Så brøt mønsteret. Den 3. september 2019 satte Zerodiums prisliste en fullstendig nullklikkjede for Android som overlever omstart, til 2,5 millioner dollar, over den fullstendige iOS-kjeden (2 millioner dollar, eller 1 million dollar for varianten som krever ett klikk) [7][8]. Det var første gang Android kostet mer enn iOS siden Zerodium åpnet. Ett forbehold: Det har vært ganske stille fra Zerodium siden rundt 2021, så betrakt alle selskapets beløp som daterte, annonserte utbetalinger. Annonserte belønninger har alltid vært markedsføring; prisene handelen faktisk ble sluttet til, forble private.

Hos den russiske megleren Operation Zero er det særlig viktig å være redelig med tallene. Selskapet ble grunnlagt i 2021 og ledes av Sergey Zelenyuk. Det begrenser salget slik at, med selskapets egne ord, «sluttbrukeren er et land utenfor NATO» [5]. Den 27. september 2023 kunngjorde selskapet at det økte belønningen for fullstendige Android- og iOS-kjeder fra 200 000 dollar til 20 millioner dollar, med henvisning til «høy etterspørsel i markedet». Men selskapets egen publiserte prisliste stopper fortsatt på 2,5 millioner dollar for Android og 2 millioner dollar for iOS [6]. Zelenyuk beskrev selv de 20 millionene som muligens midlertidige og påpekte at konkurrenter holder de offentlige listeprisene lave, mens de gjør handler til høyere priser privat [5]. Betrakt 20 millioner dollar som et situasjonsbestemt maksimum; den faste satsen er 2,5 millioner dollar.

Crowdfense, med base i De forente arabiske emirater, gir det tydeligste nyere sammenligningsgrunnlaget fordi prislisten er detaljert og oppdatert. I april 2024 kunngjorde selskapet et oppkjøpsprogram på 30 millioner dollar, langt over taket på 3 millioner dollar i programmet fra 2019 [9]. Prisnivåene:

• Fullstendig nullklikkjede for iOS: opptil 7 millioner dollar
• Fullstendig nullklikkjede for Android: opptil 5 millioner dollar
• Fullstendig nullklikkjede via SMS/MMS: opptil 9 millioner dollar, programmets høyeste beløp
• Chrome RCE pluss LPE (fjernkjøring av kode koblet til lokal rettighetseskalering, steget som tar en angriper fra å kjøre kode til å ha full kontroll): 2 til 3 millioner dollar; Safari: 2,5 til 3,5 millioner dollar
• Nulldagssårbarheter i WhatsApp og iMessage: 3 til 5 millioner dollar; samlet prisspenn fra 10 000 til 9 millioner dollar [9][10]

Legg merke til at Crowdfense priser iOS (7 millioner dollar) høyere enn Android (5 millioner dollar), stikk motsatt av Zerodiums prisliste fra 2019. Her har de byttet plass igjen.

Hvorfor iOS og Android stadig bytter plass

Omslaget i 2019 og omslaget i 2024 ser like ut, men drives av motsatte krefter. Å blande dem sammen er den vanligste feilen i omtalen.

Omslaget i 2019 handlet om tilbud. Bekrar sa rett ut at «nulldagsmarkedet er så oversvømt av iOS-eksploiter at vi nylig har begynt å avvise noen av dem», mens fullstendige Android-kjeder var «blitt svært vanskelige og tidkrevende» på grunn av sikkerhetsforbedringer fra Google og Samsung. Android kostet mer i 2019 fordi Android-feil var sjeldne og iOS-feil fantes overalt; Zerodium sa at Android skulle forbli høyest priset «til Apple igjen forbedrer sikkerheten i iOS» [8].

Omslaget i 2024 handler om sikkerhetsforbedringer som trekker i motsatt retning. Da hadde forsvar som Lockdown Mode og arbeidet med minnesikkerhet gjort iOS-kjeder langt vanskeligere å bygge, slik at iOS igjen ble det sjeldne, dyre målet. Crowdfenses forskningsdirektør Paolo Stagno sa det rett ut: «Sikkerhetstiltakene leverandørene innfører, virker.» De gjør eksploiter «mye mer kompliserte, mye mer tidkrevende»; der én forsker tidligere kunne bygge en fungerende eksploit, trengs det nå hele team [10]. Knapphet som følge av bedre sikkerhet er drivkraften: Når feilen blir vanskeligere å finne og gjøre klar til angrep, stiger prisen for å holde forskerne på leting.

En ny aktør fra 2025 understreker poenget. I august 2025 tilbød et selskap i De forente arabiske emirater som kaller seg Advanced Security Solutions, opptil 20 millioner dollar for en nulldagssårbarhet som kan hacke enhver smarttelefon via tekstmelding; en forsker sa til TechCrunch at beløpet kanskje til og med var for lavt [18].

Hva som faktisk bestemmer prisen

Bak de annonserte pristakene avhenger en eksploits verdi av noen få egenskaper. Meglerne sier det uttrykkelig: Utbetalingene er «opptil» et tak, og det faktiske beløpet fastsettes gjennom en teknisk vurdering. Dette er faktorene:

Pålitelighet og eksklusivitet. En eksploit som virker på mange enheter uten å få dem til å krasje, er langt mer verdt enn en som virker halvparten av gangene. Manglende pålitelighet er markedets hovedproblem og den viktigste grunnen til at faktiske priser ender under det annonserte taket. Og en feil som er solgt til én kjøper, er mer verdt enn en som sirkulerer: Crowdfenses kontrakt gjør forskningen til «Crowdfenses ene og eksklusive eiendom» [11]. Eksklusiviteten er selve verdien, ikke en bonus.

Fullstendige kjeder, nullklikk og overlevelse etter omstart. En fullstendig kjede (kodekjøring, deretter å bryte ut av sandkassen, deretter rettighetseskalering) er verdt mange ganger mer enn hver enkelt del, fordi den kan brukes slik den leveres. Muligheten til å levere uten klikk gir det største prispåslaget knyttet til brukerinteraksjon; alle de høyeste prisnivåene over gjelder nullklikkvarianten. Evnen til å overleve en omstart har også sin egen oppføring i prislisten. Derfor kalte Bekrar vanskeligheten med å få til dette én av de to tingene som holdt iOS-prisene oppe.

Så kommer fradraget som henger over alt: tid. En nulldagssårbarhet er en eiendel som taper verdi over tid, og verdien kollapser den dagen sårbarheten blir rettet. Selv alder spiser av verdien før en rettelse kommer; en selger av en eksploit for rettighetseskalering i Windows senket prisen fra 95 000 til 90 000 dollar bare fordi annonsen hadde ligget ute for lenge. Derfor får kontraktene finurlige vilkår: Kjøperne betaler ved milepæler, og selgeren garanterer i praksis at eksploiten fortsetter å virke over tid, ikke bare at den fungerer ved levering [12].

Hvis en sikkerhetsoppdatering ødelegger verdien, skulle man tro at kjøperne var nervøse. De er mindre nervøse enn du kanskje tror, fordi eiendelen de kjøper, er holdbar. RAND-studien «Zero Days, Thousands of Nights» av Ablon og Bogart fra 2017 undersøkte rundt 200 reelle nulldagssårbarheter fra 2002 til 2016. Den gjennomsnittlige sårbarheten levde i 6,9 år før den ble offentliggjort, uten noen sammenheng mellom alvorlighetsgrad og levetid. Det økonomisk avgjørende tallet er hvor ofte andre gjør samme funn: Bare rundt 5,7 % per år av et lager blir oppdaget uavhengig av andre [13]. Det lave tallet er grunnen til at en eksploit beholder verdien i årevis; kjøperens midlertidige monopol blir sjelden brutt av en oppdagelse utenfra, og den største risikoen for at verdien går tapt, er leverandørens egen sikkerhetsoppdatering. (Jeg fikk ikke lastet inn RANDs originale PDF, så disse tallene kommer fra samstemt omtale i sekundærkilder.)

Prisgapet og hvorfor belønningsprogrammer ikke kan lukke det

Sett nå de to markedene ved siden av hverandre. Den samme nullklikkjeden for iOS eller Android er verdt rundt 2 millioner dollar på toppen av Apples belønningsprogram og 5 til 7 millioner dollar hos Crowdfense, mens de annonserte toppbeløpene i gråmarkedet når 20 millioner dollar [10][18]. Det hvite markedet betaler en brøkdel, og gapet skyldes strukturen, ikke gjerrighet.

De to kjøperne vil ha motsatte ting fra det samme objektet. Leverandøren vil offentliggjøre og fjerne feilen; den offensive kjøperen vil holde den hemmelig og bruke den. Et defensivt kjøp er eiendelens begravelse, mens et offensivt kjøp er dens fødsel. Denne asymmetrien gjør at offensiv etterspørsel kan overby defensiv etterspørsel for enhver kapasitet som er avhengig av hemmelighold. Derfor kan ikke belønningsprogrammene kjøpe opp det dyreste i markedet, og de beste forskerne kjenner en vedvarende dragning mot gråmarkedet [11].

Leverandørene står ikke stille. Apple la om Security Bounty sent i 2025 og doblet den høyeste grunnbelønningen for en nullklikkjede til 2 millioner dollar, med bonuser som løfter maksimumsbeløpet over 5 millioner dollar. Selskapet har betalt over 35 millioner dollar til mer enn 800 forskere siden 2020, og omtalen beskriver økningen uttrykkelig som et forsøk på å ta igjen prisene for kommersiell spionvare [19]. Google hevet den høyeste Android-belønningen til 1,5 millioner dollar for en nullklikkjede mot Pixels sikkerhetsbrikke som overlever omstart, og betalte ut 17,1 millioner dollar på tvers av programmene sine i 2025 [32]. Det er den egentlige historien om 2024 og 2025: Det hvite markedet jager gråmarkedet oppover, og begge reagerer på de samme sikkerhetsforbedringene. Men selv etter økningene betaler gråmarkedet fortsatt flere ganger mer.

Pwn2Own er det interessante unntaket, fordi konkurransens opplegg løser kvalitetsproblemet. ZDI har arrangert den siden 2007, og den publiserer utbetalinger for eksploiter som demonstreres direkte og verifiseres av dommere. Det gir en åpen referansepris blant ellers uoversiktlige satser. Pwn2Own Ireland 2025 innførte en premie på 1 million dollar for en nullklikk-eksploit mot WhatsApp, den høyeste premien for ett enkelt mål i konkurransens historie [33]. Fordi eksploiten må demonstreres for å vinne og deretter blir offentliggjort, forsvinner kvalitetsproblemet. Likevel ligger prisen under de offensive satsene: samme kvalitet, men verdien dør ved offentliggjøring.

Meglerens margin og den menneskelige kostnaden

Påslaget er hele poenget. Ifølge New York Times' omtale fra 2016 kostet NSO Groups Pegasus fra 650 000 dollar for å infisere 10 telefoner, pluss en etableringsavgift på 500 000 dollar. Interne NSO-dokumenter priset 100 telefoner til 41,4 millioner euro i året [20]. Intellexas Predator hadde ifølge lekkede tilbud priser på rundt 8 millioner euro for 100 infeksjoner (begge beløpene er hentet fra sekundærkilder) [34]. Til sammenligning koster en Chrome-feil som er gjort klar for angrep i stor skala, angivelig rundt 100 000 til 300 000 dollar som enkeltkomponent [21]. Kjøp en nettleserfeil for et lavt sekssifret beløp, selg et fungerende overvåkingsprodukt for sju eller åtte sifre.

Og den menneskelige kostnaden er en ekstern kostnad ingen betaler for. Intellexa står bak minst 15 av de rundt 70 nulldagssårbarhetene på mobil som Googles trusseletterretningsteam har dokumentert siden 2021: nye feil som brukes opp for å holde Predator i drift [21]. Pegasus Project undersøkte NSOs Pegasus i 2021 og fant at sivilsamfunnet ble målrettet i stor skala: Tekniske undersøkelser knyttet til en lekkasje av rundt 50 000 telefonnumre identifiserte minst 180 journalister i 20 land som var valgt ut som mål. Blant dem var også folk rundt den drepte saudiarabiske journalisten Jamal Khashoggi [22]. Kjedene som oppnår de høyeste prisene, havner på en dissidents telefon.

Staten på alle sider av bordet

Det er her økonomien blir et styringsproblem. Staten er den største kjøperen i dette markedet, og den er samtidig dommer og regulator. De rollene lar seg vanskelig forene.

NSAs begrunnelse for å beholde en feil fremfor å offentliggjøre den er NOBUS, «nobody but us», altså «ingen andre enn oss»: Hvis det å utnytte en feil krever ressurser bare etaten har, vurderes den offensive verdien som større enn risikoen for forsvaret, og feilen beholdes. Tidligere direktør Michael Hayden beskrev tankegangen offentlig og ba folk vurdere en sårbarhet ut fra spørsmålet «hvem andre kan gjøre dette?» [23]. Svakheten er at NOBUS satser på at vurderingen holder for alltid, og det gjør den ikke. Når eksploiten lekker, snur regnestykket, og feilen kan utnyttes av alle, mot nettopp de systemene landet er avhengig av.

Det formelle apparatet for denne beslutningen er Vulnerabilities Equities Process, mekanismen på tvers av amerikanske myndigheter for å velge om en feil skal offentliggjøres eller beholdes. Den ble utviklet rundt 2008 og 2009, men holdt hemmelig. Et EFF-søksmål ga et innblikk i 2016, og mandatet ble til slutt offentliggjort 15. november 2017, etter press i kjølvannet av Shadow Brokers-lekkasjen. Svakhetene er godt dokumentert: NSA, etaten med den sterkeste offensive interessen, leder sekretariatet, og kritikere peker på «begrensninger gjennom taushetsavtaler, manglende risikoklassifiseringer, særbehandling av NSA og en lite helhjertet forpliktelse til offentliggjøring som hovedregel» [14]. Punktet om taushetsavtaler har økonomisk betydning: Hvis staten kjøper en eksploit fra en megler under en taushetsavtale, kan kontrakten holde feilen helt utenfor vurderingen. Det finnes heller ikke noe troverdig offentlig tall for hvor ofte feil offentliggjøres, sammenlignet med hvor ofte de beholdes.

EternalBlue viste hva NOBUS risikerer. NSA utviklet denne eksploiten mot en Windows-feil og skal ha beholdt den i mer enn fem år. Den 14. mars 2017 rettet Microsoft feilen i stillhet, tilsynelatende etter et tips om at verktøyene sto i fare for å komme på avveie; en måned senere offentliggjorde Shadow Brokers NSAs verktøykasse [24]. Den 12. mai 2017 tok løsepengeormen WannaCry EternalBlue i bruk, rammet rundt 200 000 til 230 000 datamaskiner i 150 land og lammet det britiske helsevesenet NHS [15]. I juni brukte NotPetya den på nytt og gjorde langt større skade; en vurdering fra Det hvite hus anslo tapene til over 10 milliarder dollar, noe som gjorde det til historiens mest ødeleggende cyberangrep. WannaCry ble senere tilskrevet Nord-Korea, NotPetya til Russlands GRU [25].

En redelig nyansering er at sikkerhetsoppdateringen fantes før WannaCry spredte seg. Forsvarerne av praksisen mener derfor at skadene skyldtes manglende oppdateringer, ikke at feilen ble holdt tilbake; kritikerne svarer at en feil NSA aldri hadde beholdt, heller aldri kunne ha lekket derfra. Begge deler er sant, og derfor er debatten fortsatt aktuell. Microsofts Brad Smith formulerte kritikernes syn minneverdig da han sammenlignet statlig lagring av sårbarheter med «at det amerikanske militæret får noen av Tomahawk-missilene sine stjålet».

To forsøk på regulering

Statens forsøk på å regulere dette markedet viser hvor vanskelig det er å kontrollere kode som ikke har noen fysisk form. Det første forsøket var eksportkontroll. I 2013 la Wassenaar-samarbeidet, den gang et regime med 41 land (42 i dag) for våpen og flerbruksvarer, «inntrengningsprogramvare» til kontrollistene sine, som reaksjon på at vestlige overvåkingsverktøy dukket opp i undertrykkende regimer. Det amerikanske gjennomføringsforslaget fra 2015 var en katastrofe: Regelen var så vid at den ville ha krevd eksportlisenser for kommersielle verktøy til penetrasjonstesting og potensielt ethvert demonstrasjonseksempel på en eksploit som ble sendt over landegrenser. Symantec, FireEye, Google og EFF protesterte alle, fordi ordlyd skrevet for våpen også fanget opp den defensive forskningen sikkerheten er avhengig av. Forslaget ble trukket; først i desember 2017 la Wassenaar til unntak for rapportering av sårbarheter og hendelseshåndtering [26]. Klønete kontroll med kode som kan brukes både defensivt og offensivt, skader forsvarerne mer enn angriperne.

Det andre forsøket retter seg direkte mot spionvareleverandørene. I november 2021 satte det amerikanske handelsdepartementet NSO Group og andre på Entity List for å ha levert spionvare brukt mot journalister, aktivister og offentlige tjenestepersoner. Dermed ble de nektet å kjøpe amerikansk teknologi [27]. Den 27. mars 2023 signerte president Biden så en presidentordre som forbyr amerikanske myndigheter å bruke kommersiell spionvare som utgjør en risiko for nasjonal sikkerhet eller menneskerettigheter. Forbudet omfatter også indirekte bruk gjennom kontraktører og nevner risikofaktorer som at en leverandør er under fremmed statlig kontroll, eller at verktøyene brukes «til å kvele dissens eller politisk opposisjon» [28]. Tallet som drev beslutningen frem: En høytstående tjenesteperson opplyste på en orientering at minst 50 amerikanske statsansatte i minst 10 land var blitt målrettet («Vi var forbløffet over antallet»). Tallet stammer fra orienteringen, ikke fra selve presidentordren [29]. Tiltakene ble stadig skjerpet; i 2024 innførte utenriksdepartementet visumrestriksjoner for personer involvert i misbruk av spionvare [30].

Tar man et skritt tilbake, trer én ubehagelig kjensgjerning frem: Staten sitter på begge sider av det samme markedet. Den er den største kjøperen og holder meglerne og spionvareleverandørene i live; den eier lageret som lekket og førte til de dyreste cyberangrepene som noen gang er registrert; den er dommeren, gjennom en VEP som styres av NSA, gjør unntak for taushetsavtaler og er tannløs av konstruksjon; og den er regulatoren, med eksportkontroller som gikk for langt, og sanksjoner som stadig skjerpes. Én aktør, fire insentiver som opphever hverandre.

Selve markedet er rasjonelt, og det er det urovekkende. En nullklikkjede for iOS som overlever omstart, er verdt 7 millioner dollar fordi den når en milliard enheter, virker pålitelig, ikke krever brukerhandling, overlever omstart og trolig vil forbli hemmelig i årevis, gitt en gjenoppdagelsesrate på 5,7 % [13]. Systemet virker akkurat slik det er utformet, og det det er utformet for å gjøre, er å omgjøre en forskers oppdagelse til en kapasitet rettet mot noens telefon, med fortsatt sårbarhet for allmennheten som en vesentlig del av prisen.

Jeg tror ikke man kan regulere seg enkelt ut av dette, og Wassenaar er beviset: Kontroll med kode som ikke har fysisk form og kan brukes til flere formål, har en tendens til å ramme forsvarerne først. Det mer redelige virkemiddelet er det Apple og Google tar i bruk, langsomt og kostbart: Øk budet i det hvite markedet, og gjør fremfor alt feilene vanskeligere å finne. Bedre sikkerhet er det eneste tiltaket som reduserer tilbudet for alle kjøpere samtidig. Et sikkerhetstiltak som gjør en eksploit én forsker kunne ha laget, til et toårig prosjekt for ti personer, tapper dette markedet mer enn noen eksportregel. Det angriper det prisstrukturen bygger på: selve knappheten.

Så beløpet fortsetter å stige, og det er ikke bare dårlig nytt; en stigende pris betyr at feilene blir vanskeligere å finne. Tragedien er at de samme sikkerhetsforbedringene driver budene i det hvite markedet oppover for å holde følge, mens gråmarkedet, fritatt for enhver plikt til å offentliggjøre funn, alltid kan betale litt mer. Dette gapet er prisen for å leve på enheter som verdens regjeringer svært gjerne vil lese innholdet på.