Voor het eerst verdient hacker twee miljoen dollar aan bugbounty's op HackerOne

Voor het eerst heeft een ethisch hacker twee miljoen dollar verdiend op het bugbountyplatform HackerOne. De Roemeense Cosmin Iordache of inhibitor181 wist in de afgelopen drie maanden 300.000 dollar te verdienen en behaalde daarmee de mijlpaal.

HackerOne feliciteert de bugbountyjager op Twitter. Iordache heeft in totaal 468 kwetsbaarheden bij bedrijven gevonden en die via HackerOne doorgegeven. Het gaat om bugs bij grote bedrijven zoals PayPal, Facebook en GitHub. De beloningen die hij verdiende kwamen alleen via HackerOne, en niet van bounty's buiten dat platform, maar het is niet bekend hoe vaak de hacker zelfstandig kwetsbaarheden doorgeeft. Iordache verdiende twee miljoen dollar, omgerekend zo'n 1,64 miljoen euro.

De ethisch hacker, die op HackerOne bekend staat als inhibitor181, stond al hoog in de ranglijst van hackers met de meeste bounty's op hun naam. Vorig jaar werd hij bovendien de zevende hacker op het platform die meer dan een miljoen dollar wist te verdienen. Iordache verdiende in de afgelopen negentig dagen alleen al 300.000 dollar aan bugbounty's, omgerekend zo'n 246.000 euro.

Reacties (138)

[K-aroq]

Maar als je dit soort talenten hebt, kan je dan niet veel beter een security IT bedrijf beginnen. Dan verdien je uiteindelijk veel en veel meer dan dit.

[Anoniem: 1322]

Een bedrijf beginnen en behouden vereist heel andere 'talenten' dan een techneut over het algemeen heeft. Heeft hij mensen skills om zijn werknemers tevreden te houden? Wat weet hij van boekhouden en belasting procedures? Hoe zijn zijn verkoop talenten? Hij moet immers wel klanten aantrekken. Hoe zien zijn bedrijfsplannen er uit? Hoeveel neemt hij een lening om het bedrijf te starten? Is zijn persoonlijke gemoedstoestand daar wel naar?

Deze uitspraak wordt altijd gedaan door mensen die geen eigen bedrijf / personeel hebben gehad. Een eigenaar van een bedrijf is vaak helemaal niet meer bezig met de kerntaak van de organisatie. En technische mensen willen technische dingen doen.. Geen verkoop of acquisitie....

[Remzi1993]

Dit is een van de redenen waarom ik gestopt was met mijn eenmanszaak een aantal jaren geleden, ook omdat mijn Social skills niet zo geweldig zijn en ik niet wist hoe ik klanten moest aantrekken.

De meeste mensen denken als je ergens goed in bent dat je dan het beste een eigen bedrijf kan starten en dat je dan goed geld verdiend. Helaas is dit niet waar zoals dycell ook aangaf, ik was meer dan de helft van de tijd bezig met de administratie, belastingen en klanten vinden/aantrekken. Het daadwerkelijk werk was maar iets van 1/3 (en misschien iets minder).

Ook iemand die ergens goed in is, is misschien niet goed met zichzelf verkopen. Dit is een moeilijke skills, die je leer wanneer je sales doet. Ook komt onderhandelen en bluffen om de hoek kijken en de meeste mensen willen zich daar niet mee bezig houden (zoals ik het is, want ik vind het niet leuk en het is niet de kern waar ik goed in bent).

[DerDee]

Ik vind wel dat er een verschil zit tussen ergens goed in zijn en ergens koning in zijn. Zelf ben ik om de door jou aangegeven reden nooit als ZZP'er begonnen. Hoewel in mijn directe omgeving er een leuker loon uit overhouden dan ik in loondienst. Maar heb liever zekerheid en geen randzaken aan mijn hoofd waar ik alleen maar van ga stressen.

Echter 1 groot verschil met de beste man hierboven hij is uitmuntend in zijn vakgebied. Acquisitie is minimaal want hij heeft al een grote naam opgebouwd en waarschijnlijk dus ook een netwerk bij grote bedrijven. Ook veel financiële handelingen zal hij nu ook al moeten doen om gewonnen bedragen op zijn rekening te krijgen. Voor de andere randzaken kan hij ook iemand aannemen of uitbesteden.

Dus ik denk dat hij zeker wel een bedrijf kan opzetten, enige wat je je moet afvragen is wat hij er mee gaat bereiken. Het lijkt me dan dat je het alleen voor ervaring doet die een bedrijf veel sterker behoud als een persoon, denk ik zelf. De rest zal niet gek veel afwijken van hoe die het nu doet. Misschien dat hij zelf zijn bedragen kan stellen.

[Skit3000]

Als je echt heel goed bent in iets kan je beter mensen om je heen verzamelen die alles van je overnemen wat je niet leuk vindt of tijd kost, dan een traditioneel bedrijf te starten waarbij je uiteindelijk het werk waar je goed in bent aan anderen moet uitbesteden. Een beetje zoals een voetballer of een artiest een impresariaat of zaakwaarnemer heeft.

[djwice]

En dat is heel lastig. Die mensen vinden, die ook de waarde snappen, dat goed weten te verkopen en dan niet dingen verkopen die niet kloppen, ethische fouten maken, informatie lekken, etc.

Het is zelfs met feiten en bewijs niet altijd mogelijk bedrijven binnen te halen. Grote bedrijven willen vaak SLA's en zaken doen met bedrijven met grote capaciteit, in plaats van een slimmerik die ze structureel een beter resultaat geeft.

Veel beleidsmakers, beslissers en inkopers kunnen dat verschil namelijk niet inschatten. En kunnen zich niet voorstellen dat grote security bedrijven minder goede oplossingen bieden. Zelfs op hele grote grote gebieden blinde vlekken hebben.

Je kunt vaak pas laten zien dat iets effectiever is voor hen, als het is geïmplementeerd. Voor die tijd kunnen ze het zich niet voorstellen dat zo iets überhaupt mogelijk is én hun huidige partijen dit niet kunnen.
Die informeren hen bovendien dat het onveilig is wat wordt voorgesteld en dat het niet AI bevat en andere onnodige kenmerken waarop de marketing afdeling jaren lang de inkopers en leiders mee heeft overtuigd dat ze noodzakelijk zijn.

Als je iets niet mitigeert moet het later gevonden, gescant en gecheckt worden. Dat levert veel meer geld op. Dus als een kleine partij permanente mitigatie biedt en scans een factor 15 keer sneller doet én geen schaalbaarheidsprobleem heeft, niet eens bij 10.000x de huidige limiet van de bestaande vendor, en dan ook nog minder kosten mee brengt, en geen afhankelijkheid heeft van een eigen platform, dus gewoon 100% functioneert, binnen elk netwerk... Tja security, parallellisatie en scalabitity by design... Kan natuurlijk niet volgens de adviseurs die gewent zijn die andere producten te verkopen of te configureren...

Dat zijn vaak wel dezelfde adviseurs die de grote bedrijven helpen beoordelen... de belangrijkste KPI's (permanente mitigatie, performance, isolatie, cost) krijgen vaak geen aandacht. Veel punten gaan naar AI, update lijsten, etc.

[Reactie gewijzigd door djwice op 22 juli 2024 15:05]

[Skit3000]

Ik ben het eens met je analyse. Veel bedrijven kiezen inderdaad liever voor een bekende naam, met het gecalculeerde risico dat ze dan niet de beste oplossing krijgen. Maar, als jij die expert bent die weet wat 'ie waard is dan heb je tegelijkertijd juist zelf de keuze uit met wie je in zee gaat. Zeker iemand als Cosmin Iordache lijkt minder tijd nodig te hebben om kwetsbaarheden te vinden dan de termijn die een verkoopmedewerker om een deal te sluiten. Hij kan dus gewoon zijn gang gaan en het risico nemen dat een bedrijf géén oor heeft naar wat hij te zeggen heeft en nog minder tijd hoeven investeren dan een grote onderneming die de andere kant op werkt. HackerOne past ook prima bij deze manier van werken, want je potentiële klanten zeggen op voorhand al waar ze naar op zoek zijn en wat ze er voor over hebben.

Het gaat denk juist om de processen er omheen die iemand als deze man zou kunnen uitbesteden. Naast het werk zelf ook nog bezig zijn met de administratie, belasting en telefoontjes aannemen van bedrijven die je (voor een te laag tarief) eet tijd uit dat waar je goed in bent.

[BarôZZa]

Wat gaat het bedrijf doen dan? Wie neemt hij in dienst en wat gaan die mensen doen?

Want hij is het uitzonderlijke talent. Het is net zoiets als zeggen dat een profvoetballer beter z'n eigen bedrijf kan opzetten in plaats van voor een club te spelen. Misschien dat sommige een constructie hebben om creatief met belasting om te gaan, maar qua werk is het niet anders.

Sowieso is hij dus miljonair en trekt een ton per maand binnen de laatste tijd. Volgens mij heeft hij geen financieel/zakelijk advies nodig. Om dat werk te doen heb je een heel goed stel hersenen nodig, dus grote kans dat hij z'n zaakjes een stuk beter op orde heeft dan de mensen die hier reageren

[NielsFL]

Maar waarom doe je zelf je administratie en acquisitie als je expertise elders ligt? Dat is financieel toch helemaal niet interessant? (Zelfs als je het wel leuk zou vinden.)

Of anders gezegd: het administratiekantoor dat ik gebruik doet zoiets beter dan ik, sneller, en tegen een lager tarief.

Acquisitie idem dito: een handjevol netwerkers betaal ik een commissie voor elke klus die ze aanbrengen.

Een eigen bedrijf betekent dat je zelf beslist, maar niet dat je ook alles zelf moet doen.

[Remzi1993]

Als je als eenmanszaak begint (ZZP-er of freelancer) dan heb je niet het geld en middelen om dat allemaal uit te besteden, want dat kost ook geld.

[djwice]

Ik denk dat @NielsFL hier een goed voorstel doet: je maakt alleen kosten als de netwerker een goed betaalde en leuke klus aanbrengt. In de vorm van % van jouw omzet door zijn inzet.

Je betaalt administratie kantoor lager uurloon dan jij krijgt, dus in de tijd dat jij jouw expertise doet, voeren zij hen expertise uit tegen een lager tarief.

Resultaat: jij maakt percentueel gezien meer productive uren, hebt daardoor meer omzet en het meer naar je zin en lagere administratie en acquisitie kosten.
(2* jouw uurloon * tijd die je anders zelf aan acquisitie zou besteden is waarschijnlijk hoger dan de marge die je de netwerker geeft).

[Reactie gewijzigd door djwice op 22 juli 2024 15:05]

[Darkstriker]

Als je 2m hebt verdient dan leef je of heer royaal of je hebt aardig vermogen opgebouwd waarmee je risicos kan nemen als je dat wilt. Dat is uiteindelijk de kwestie: Zijn in je eigen afweging de voordelen van die eigen zaak groter dan risicos of niet.

[Rutix]

Je administratie uitbesteden is echt prima te doen hoor. Ik betaal bij mijn administratie kantoor een vast bedrag per maand en daar doen ze dan alles voor. De kosten die ik zou maken als ik het zelf zou doen zitten ze dik onder en ze leveren ook goed werk dus dubbel en dwars waard. Ik denk dat veel mensen onderschatten hoeveel meer het kost als je het zelf zou doen.

[KvanC]

Werkelijk alles wat je hier zegt is zo waar.

Je geniet van waar je goed in bent en word opgeslokt in bedrijfs gelul.

Zonde van je passie en waar je goed in bent, maar je wilt ook leven...

Heb het zelf ook geleefd.

Boeiend probleem. Maar niet iets wat me echt bezig houd...boeiend nietwaar. 😉

[NoobishPro]

Wel een kleine tip van een mede-ondernemer; Begin met een goede boekhouder. De ~1000 euro per jaar welke je daar aan kwijt bent verdient zichzelf terug in zowel voordelen als rust om je meer te kunnen concentreren op je werk. Wij (Ja, wij) zijn zo'n 5 minuten per dag kwijt aan de administratie... Klanten aantrekken is natuurlijk een ander verhaal.

[himlims_]

Erg herkenbaar; vergelijkbaar traject doorlopen

Inmiddels aardig wat jaartjes verder, als iets geleerd heb: marketing is key!

Een matig of zelfs slecht product verkoopt prima met de juiste positionering/promoties/branding/marketing

Om die marketing te realiseren heb je kapitaal en/of investering nodig.

Al is jouw product/kennis nog zo goed, zonder marketing red je t niet

[Leejjon]

Nvm: Je reactie is op een andere post dan ik dacht.

[Reactie gewijzigd door Leejjon op 22 juli 2024 15:05]

[Oon]

Ik ben zelf hetzelfde aan het ervaren. Heb al jaren een eenmanszaak, maar heeft eigenlijk nooit lekker gedraaid. Heb altijd het 'echte geld' uit dienstverbanden of lange termijn opdrachten gehaald, waar ik gewoon als normale medewerker meedraaide.

Nu ben ik op het punt waar mijn ervaring mij een goed genoeg inkomen geeft dat ik eigenlijk helemaal niet freelance hoef te werken, dus ik heb er ook niet zoveel zin meer in. De registratie hou ik aan want ik heb wel klanten waar ik zo nu en dan wat kleine aanpassingen voor doe, maar actief naar opdrachten zoeken doe ik niet echt. Ik heb wel een aantal goeie klantrelaties, maar ik heb de sales skills van een aardappel en krijg mezelf gewoon echt niet verkocht aan nieuwe klanten.

Ik merk vooral dat ik steeds niks te doen heb, het dan ineens heel druk heb, weken/maandenlang enorm in de stress zit om het af te krijgen, en uiteindelijk maar een mager extra inkomen overhoud. Dan vind ik 40 uur in de week voor een baas werken waar de druk wat lager ligt maar wel constant is toch idealer.

[MOizo]

Vraag je niet af of iets gaat lukken maar wat er nodig is om het te laten lukken. Citaat arjan de Koning Paradiget

[Anoniem: 58485]

Hij hoeft geen klanten meer aan te trekken. Met zulke promotie sta je gewoon geheid aan de top. Voor belasting en boekhouden heb je een accountant, die neemt dat namelijk voor je uit handen. Wat betreft het runnen van een bedrijf(je), je kunt prima als eenmanszaak starten, en als de nood daartoe is uitbreiden. Zo ben ik 13 jaar geleden ook voor mezelf begonnen.

[Jerie]

Daarom kan het verstandig zijn samen met iemand anders een bedrijf te beginnen. Neem Steve en Steve. Woz de techneut, Jobs de zakenman.

[Leejjon]

Dit is in de praktijk lastig. Steve de slimme zakenman zal liever zelf een bedrijf starten en Steve de IT expert voor 4-6k bruto per maand aannemen en alle winst van het bedrijf in eigen zak steken, dan de aandelen en winst delen met zijn IT partner. Kijk maar naar al die detachering bedrijven.

[Reactie gewijzigd door Leejjon op 22 juli 2024 15:05]

[Anoniem: 1367158]

u-huh - i shall officially second and third that, dat is een beetje als verwachten van een ivoren toren pianist om zelf de marketing te doen ... - ook een beetje het "na vijf minuten aanschuiven voor papierwerk was ik het beu"-syndroom. Daarom hebben supermensen een harem met een girlfriend met elk talent voorzien ... of niet soms ?

[Vlizzjeffrey]

Gaat toch niet alleen maar om geld? Dan zou die vast nog wel veeeeeel meer kunnen verdienen met criminele praktijken. Afgelopen 3 maanden heeft die 246.000 euro verdiend, jij zou daar geen genoegen mee nemen? Op den duur met zoveel geld is het enige wat veranderd de cijfertjes op je bankrekening, en dat is oneindig, waar leef je dan voor.

[Blackshifty]

Grey hats discussie
het verkopen van bugs of zero days (als je er al 1 vind) lijkt me moeilijk.
Vraag me altijd af hoe staats hackers dat doen. Bljf je altijd ethische. ook al je er mee weg kan komen

[sampoo]

We weten natuurlijk niet wat hij verdient aan alle bounty hunting projecten waar hij aan mee doet, het mooie van deze manier is dat hij geen elke verantwoordelijkheid heeft om de klus te klaren anders dan de lol die hij eraan beleeft met het bug hunten en competitie met andere hackers, en het geld natuurlijk.

Hier een deel van een interview met hem, ik denk niet dat hij veel plezier zou hebben om bezig te zijn met debiteuren, klantwerving en eventueel ondersteunend personeel. Maar wie weet bouwt hij hiermee een reputatie en netwerk op waarbij hij later wel iets mee kan.

I absolutely love doing this and I would not do it if I did not like it. Also, not having fixed work hours or a boss was something that I have always wanted, and bug bounties helped me achieve this.

There are some things I do not care much about like how fast I get paid or how fast my bugs get triaged, which is very important for others. On the other hand, I am pretty volatile and if I feel that someone does not respect me, tries to evade payments with idiotic reasoning, or fails to answer any questions I have with decent reasoning, I will simply write an "Ok" and I will never touch them again. It happened with a few programs and even with a platform.

https://www.hackerone.com...ht-interview-inhibitor181

[FilipSP]

Het eerste wat mij afvroeg was 3 ton in 3 maanden, doet ie dat echt in zijn eentje of zit hier al een kleine organisatie achter ? Mijn 2e punt was dat ook met een eigen business dit abnormaal hoge salarissen zijn. Menig DGA in mijn klantenbestand, met toch een leuke omzet, ziet minder op zijn bankrekening verschijnen. Ten derde heeft zo'n iemand echt een nog dikkere boterham nodig of doet hij liever iets waar ie klaarblijkelijk steengoed in is.

[Orgel]

Je vergeet een belangrijk aspect. Of je het gewoon leuk vind. Hacken is namelijk heel leuk.

[FilipSP]

Inderdaad, de belangrijkste reden waarom deze man lekker moet blijven doen wat hij doet en tegelijkertijd een welverdiende en stevige boterham verdient.

[gavinz]

dit soort gasten doen het vaak niet voor het geld, Ik heb ook een opleiding gedaan in Cybersecurity omdat ik het echt leuk vind. als ik er mooi geld mee kan verdienen is dat mooi mee genomen maar niet waarom ik het doe

[mocem]

Ik ben benieuwd kan je dat nou echt leren op een opleiding? Moet je er niet gevoel voor hebben.

[GertMenkel]

Ik ben bezig een soortgelijke opleiding af te ronden en het is een beetje een tweezijdig iets. Je leert een hele hoop concepten en theorieën met wat voorbeeldjes, maar wil je er goed in worden moet je jezelf verdiepen in de materie en zelf gaan experimenteren.

Als je een vak krijgt over reverse engineeren dan wordt je wel het een en ander bijgepraat aan tools en tactieken, maar als je er ooit geld in wilt verdienen moet je zelf als hobby ermee aan de slag gaan. Met één specifieke opdracht die je moet maken waarin je een echt voorbeeld krijgt, ben je natuurlijk maar net begonnen.

Als je het interessant vindt en zelf al met dit soort dingen hebt gespeeld, kan zo'n opleiding je enorm op weg helpen om je te helpen zoeken naar kennis en ook bedrijven die je er een echte pro in kunnen maken. Als je het doet omdat het je wel geinig lijkt maar vooral omdat je er geld mee wil verdienen, krijg je aan het einde waarschijnlijk wel je diploma maar is de kans dat je daadwerkelijk daar rijk mee kan worden niet heel groot.

Je hoeft overigens geen opleiding in die richting gedaan te hebben, je kunt ook heel veel leren van wat er allemaal op internet te vinden is. Je staat wel 1-0 achter omdat je vaak de termen niet weet om te zoeken naar wat je wilt weten, maar met genoeg inspanning kun je heel goed worden zonder formele opleiding. Wil je met die kennis gaan solliciteren, zul je mogelijk alleen wel hier en daar een certificaat moeten halen om te bewijzen dat je kan wat van je wordt gevraagd, maar dat is met een diploma ook vaak het geval.

Gevoel voor dit soort dingen helpt, maar er zijn zoveel facetten in de securityrichting dat als je er interesse in hebt, je altijd wel iets vindt waarmee je je nuttig kan maken. Kijk bijvoorbeeld naar Troy Hunt, die wereldwijd beroemd is binnen de sector omdat hij een webpagina heeft gemaakt waarin je kan zoeken of je email gelekt is of niet. Daar heb je echt geen opleiding voor nodig en je hoeft er echt geen bug bounties voor te winnen, maar het is toch een waardevolle dienst voor de cybersecurity. Maar denk ook aan al die mensen die een carrière hebben gemaakt van social engineering, waardoor ze misschien niet een bounty kunnen verdienen op hackerone maar wel weten hoe ze zich voor moeten doen als werknemer en zo de FIOD binnenlopen met hun laptop. Bedrijven betalen goud geld om dat soort onderzoeken voor ze te doen en voor bepaalde cerrificeringen is het zelfs verplicht dat een bedrijf zo'n onderzoek uitvoert. Dan heb je nog de consultants, die met heel veel globale kennis, kennis van de producten op de markt en een glad praatje snel geld kunnen verdienen, of de mensen die forensisch onderzoek van een hackaanval uitvoeren, de mensen die de oorsprong van ransomware onder de loep nemen, de mensen die beveiligingstools voor een bedrijf implementeren en auditen of het bedrijf zich aan hun eigen regels houdt, en ga zo maar door. Zelfs zonder supersterke tech skills kun je je draai vinden in de cybersecurity, als je maar de interesse en het doorzettingsvermogen hebt om jezelf te ontwikkelen.

[gavinz]

Ik weet niet wie maar een Mede tweaker is mijn reactie opgevallen Hij of zij is oud medewerker van KPN en heeft mijn gebruiksnaam van tweakers door gestuurd naar iemand die werkt bij het CISO REDteam, een team met ethical hackers bij KPN. Deze heeft mij een mailtje gestuurd met de vraag of ik gavinz ben op tweakers Nou ben ik niet zo lastig te vinden aangezien mijn voornaam niet veel voorkomt. Nu heb ik 8 januari een teams meeting gepland om te kijken wat zij voor mij kunnen betekenen! Tuurlijk verwacht ik niet gelijk een nieuwe baan maar een kijkje nemen lijkt me al super gaaf. Ik weet niet of de mede tweaker dit nog leest maar bedankt! Wie weet komt er iets moois uit

[GertMenkel]

Wow, gefeliciteerd! Veel succes, ik hoop dat er wat moois uit komt!

[gavinz]

Ja en nee, ik ben totaal niet van leren uit boeken. Heb mijn opleiding gedaan in Amerika en was heel veel zelf studie. Achteraf gezien toch een hoop kennis op gedaan maar meer omdat de opleiding me de juiste richting in stuurde! Mee doen in de cyber security club en samen naar bug bounty's was ook erg leerzaam. Waar ik ook een hoop geleerd heb is op tryhackme.com kan ik nu na ongeveer 1.5 jaar hacken ? Nee... Maar de kennis is er wel en weet hoe hackers te werk gaan. Ervaring kan je pas op doen in de praktijk en heb helaas geen stage mogen lopen.

[Anoniem: 310408]

Ervaring kan je pas op doen in de praktijk en heb helaas geen stage mogen lopen.

Maar, beste gavin, als werkgever krijg ik stapels CV's van mensen die zeggen dat ze servers kunnen onderhouden omdat ze eigen huisserver met drie gebruikers werkt. Wat jij geleerd hebt ol tryhackme maakt het feit dat je geen opleiding die we kennen goed. Zer in security neemt niemand risico.

Als jij niet bent van leren uit boeken zal het altijd moeilijk zijn om in een standaard traject een baan te vinden. Dan moet je echt heel speciale kennis hebben die iemand nodig heeft. En dat kan best, ik heb gisteren een 66 jarige man aangenomen die een absolute kei is in het shop system wat we gebruiken. Hij heeft de lagere school afgemaakt. En verdient nu bij mij een vorsteliijk salaris. En is elke cent waard.

Een tip. De eerste vraag die ik aan mensen die bij mij in serverbeveiling willen komen werken is. Welke sites check je een paar per dag om op de hoogte te blijven? Recentelijk gaf iemand Tweakers en nu als antwoord. Bijna goed. De vrouw die de baan kreeg gaf me haar telefoon om te laten zien welke alerts ze had aanstaan. Geloof me, geen groot probleem zou haar ontgaan.

[gavinz]

Ik ben nog jong genoeg om mij te ontwikkelen op de altijd vernieuwende markt van cyber security. Ik heb ondanks corona toch mijn studie af kunnen maken en zelfs net na de 1e Lockdown en voor de 2e Lockdown een baan weten te bemachtigen bij KPN. Ondanks dat ik niet direct bij de Security zit zijn de doorgroei mogelijkheden enorm ik denk dat met de juiste werkhouding en motivatie ik ver kan komen binnen KPN. Ik wist van te voren dat ondanks mijn studie ik onderaan moet beginnen. Uiteraard heb ik naast mijn studie onwijs genoten in Amerika. Elke keer als ik mijn desktop met parrot os aan zet raak ik weer onwijs enthousiast! Ik heb in een korte periode onwijs veel geleerd en weet zeker als ik dit doorzet ik vast op de juiste plek terecht kom. Dat papiertje van mij studie is mijn persoonlijk niks waard maar toch is het nodig om aan te tonen wat je niveau is. Ik weet dat er ook zat rond lopen zonder papieren, hun kennis en ervaring zijn genoeg waard. Ik zit hier voor simpel nog te kort in het vak

[Ghxst]

Onderschat niet hoe waardevol een basis kennis van security is voor een "normale" developer, dit voorkomt in mijn ervaring vaak een groot deel aan fundamentele fouten die anders gemaakt worden en achteraf lastig te fixen zijn.

Als je echt wilt uitblinken in security research / reverse engineering / pentesten etc. dan zal een opleiding je niet echt de kennis bieden die je nodig hebt, maar wellicht wel de contacten en eventuele stages om snel te beginnen.

Met opleiding bedoel ik een "normale" / HBO opleiding en niet specifieke en gerichte trainingen / workshops, deze zijn vaak enorm waardevol maar ook extreem prijzig.

[jaaoie17]

Als het bedrag maar hoog genoeg is.

[shoombak]

"een opleiding in cybersecurity"

Er zitten zoveel aspecten aan cybersecurity waarbij de praktijk vaak meer waard is dan een papiertje. Zeker het specifieke onderwerp waar het nu over gaat telt alleen de praktijk

[gavinz]

Tja het is beter dan een opleiding als bakker, je moet ergens beginnen toch ?

[Cergorach]

Welk IT security bedrijf geeft jou een salaris van $100.000+ per maand? Want dat verdiende Cosmin de afgelopen drie maanden... Vergeet ook niet dat als zelfstandig ondernemer je meer risico heb, maar je ook meer afschrijfposten kan gebruiken en kan je aan het einde van de rit een hoop meer van die $100.000 per maand over houden dan onder loondienst. Dit ligt natuurlijk ook geheel er aan in welk land je belasting betaald.

[bamboe]

Dit is wel vertekend, gezien hij ook wel maanden dus niets onvangen heeft, ze zeggen er niet bij hoeveel jaar hij over die 2 miljoen gedaan heeft aan inkomsten, dat kan ook meer dan 10 jaar zijn.

[Cergorach]

Natuurlijk kan dat over 10 jaar zijn. Het punt is dat hij over een periode van 3 maanden $300.000 heeft kunnen verdienen. 10 jaar geleden zou dat absoluut onmogelijk zijn geweest omdat er gewoon niet zoveel bounties werden uitgegeven en deze waren vaak niet voor veel geld.

Daarnaast kan het niet over 10 jaar zijn, omdat het platform slechts in 2012 begon. En als je even verder zoekt, dan zie dat hij dit heeft gedaan over ongeveer 4 jaar. Dat is nog steeds gemiddeld ruim $40.000 per maand of zo een $500.000 per jaar.

Als ik als zelfstandig ondernemer een aantal maanden niet werk, krijg ik ook niet uitbetaald. Maar met dit soort bedragen hoef je ook niet 11 maanden in het jaar te werken...

[dakathefox]

HackerOne bestaat nog geen 8 hele jaren.

[Argantonis]

Welk IT security bedrijf geeft jou een salaris van $100.000+ per maand? Want dat verdiende Cosmin de afgelopen drie maanden... Vergeet ook niet dat als zelfstandig ondernemer je meer risico heb, maar je ook meer afschrijfposten kan gebruiken en kan je aan het einde van de rit een hoop meer van die $100.000 per maand over houden dan onder loondienst. Dit ligt natuurlijk ook geheel er aan in welk land je belasting betaald.

In de VS zijn dit helemaal geen vreemde salarissen, zelfs voor softwareontwikkeling in het algemeen

[Abu]

Want meer geld is altijd beter?

Dit lijkt me juist veel zorgelozer dan het hebben van een eigen bedrijf. En van 1.6 miljoen kun je prima rondkomen.

[kakanox]

Die wijsheid komt met de jaren.

Mij lijkt dit werk qua vrijheid wel erg prettig, maar ik streef zelf toch intensievere samenwerkingen met andere mensen na. Heb het nu, in deze tijd van lockdown, daardoor geestelijk ook een stuk moeilijker dan wanneer ik gewoon naar kantoor kan.

[loki504]

Ik en mijn vrouw hebben juist de andere kant op. Sociaal contact is voor ons juist erg zwaar.

[kakanox]

Zo is iedereen verschillend, en gelukkig maar! :-)

[loki504]

Yep😀. Zou wat zijn als we allemaal het zelfde zijn🤪

[NoTimeRemains]

Al helemaa in Roemenië

[klaasraak]

Tja koop er een stel huisjes van en verhuur deze.. weinig tijd aan kwijt en vaste inkomensstroom..

[ggj87]

Als je goede huurders hebt wel

[kuurtjes]

Ik wil daar even aan toevoegen dat je daar nog mooi belastingen op mag betalen.

[dakathefox]

Maar dan nog... 1,6 miljoen, dat is ruim voldoende om 16 jaar van rond te komen met een bovenmodaal salaris. En al helemaal in Roemenië, daar is het gewoon 32 jaar. De man kan dus praktisch al met pensioen.

[RJeee]

True, maar ik vermoed dat deze meneer enorm gepassioneerd is en veel lol heeft in wat hij doet. Dat-ie er rijk van wordt is mooi meegenomen.

[Anoniem: 304028]

Hij woont alleen niet in Roemenië , in een recent interview staat dat hij al zes jaar in Duitsland woont.

[dakathefox]

Duitsland woont ook gewoon goedkoper natuurlijk. Ook daar kun je het met een ton per jaar makkelijk 16 jaar volhouden. Zelfs met 50k per jaar haal je gewoon de 32 jaar.

[Anoniem: 304028]

Zou wel kunnen inderdaad, en toch leert de ervaring dat mensen gaan leven naar hun inkomen, een uitzondering daar gelaten. Of Duitsland goedkoper is hangt nogal af van waar je woont.

[Waah]

2 miljoen.... dat is wat de meeste mensen bruto niet eens gedurende hun leven verdienen in NL

[Argantonis]

Edit: nm, verrekend

[Reactie gewijzigd door Argantonis op 22 juli 2024 15:05]

[Anoniem: 304028]

Kan, maar dat is met zulke bedragen over het algemeen wel een keuze. Of je doet het uit principe of je hebt de verkeerde boekhouder.

[Database freak]

Je kan natuurlijk ook een partner nemen die al het 'business' werk van het bedrijf op zich neemt.

[i-chat]

die 'partner' moet je dan wel blind kunnen vertrouwen, en zie die dan maar eens te vinden. Bovendien, wie krijgt het laatste woord als je tegenover elkaar staat, jij met je techview en hij met zijn bankstaten.

[Megamind]

Als dit flinke vulnerabilities waren had ie ze ook op de black market kunnen verkopen en 100x zoveel gekregen, niet iedereen doet het om het geld of heeft zin in een bedrijf.

[Cergorach]

Denk je dat hij $200 miljoen had opgehaald aan bugs op de zwarte markt? En wat doe je vervolgens met die $200 miljoen aan zwart geld? Dat zal je moeten witwassen, wat hou je daarna er nog van over? En vergis je niet, $200 miljoen witwassen is risicovol. Niet alleen dat je gepakt kan worden en alles kwijt bent, plus een stevige gevangenisstraf, maar het kan je gewoon ook je leven kosten. Je bent immers iemand die $200 miljoen aan zwart geld heb ontvangen (wat niet op een bank staat), moorden worden gepleegd voor heel wat minder geld...

Zelfs als dat allemaal goed gaat zal er altijd een zwaard van Damocles boven je hoofd hangen omdat er iemand het geld kan volgen en je als nog in de boeien kan slaan.

[familyman]

Hoeft helemaal niet zwart te zijn. De man krijgt een factuur met btw ovv consultancy services, geeft zijn inkomen aan, en er is helemaal niks aan de hand. Althans, als het aan een bedrijf verkocht wordt.

[BeyondThunder]

Iemand met een dergelijk hoge mate van intelligentie en begrip van security zal geen enkel moeite hebben met het witwassen van 200 miljoen. Daarom prijs ik deze white hat. Ik denk inderdaad dat het merendeel gaat voor eigen gewin. Black hats. Ik heb de IT van veel bedrijven gezien, treurig om te zien dat het zo slecht is gesteld met de beveiliging. Als hij al binnenkomt bij Paypal, Facebook, e.d. tel maar na hoe slecht het is gesteld met de rest van de bedrijven.

[Anonymoussaurus]

Maar dan zit je aan contracten en verplichtingen vast. Als je dit werk zelf doet, kan je zelf bepalen wanneer het af "moet" en hoe lang je er mee bezig wil zijn. Die vrijheid heb je dan veel meer dan als je ergens gaat werken. Een andere reden kan zijn dat hij dit leuker vindt dan bij een baas die je onder druk zet.

[Reactie gewijzigd door Anonymoussaurus op 22 juli 2024 15:05]

[Amadeus1966]

Een skilset beheersen is leuk, maar om daaromheen een bedrijf op te bouwen vergt hele andere skils.
Als je daarin faalt is je bedrijf al gedoemd te mislukken.

Met die 2 miljoen extra kan je een aardig tijdje uitzingen.
Verdeeld over 50 jaar is dat toch een slordige 3000 per maand.
Als je daarnaast lekker veilig in loondienst blijft werken, dan kan je je rit wel aardig uitzingen.
Tenzij je gekke dingen gaat doen natuurlijk.

[Nimac91]

Wow wacht. Jij denkt dat ondernemer worden, een bedrijf starten en lopend krijgen, medewerkers betalen en vast zitten aan een leven lang belasting een betere optie is?

Een IT bedrijf zal wellicht veel lijken te verdienen maar je winst is absoluut niet meer dan 300.000 dollar in slechts 1 kwartaal... Hij krijgt 1,2 miljoen dollar per jaar aan bug bounties als het zo zou blijven gaan of wellicht de helft in een slecht jaar. Ik weet niet aan wat voor IT bedrijven jij denkt maar denk niet dat jan en alle man simpel 1,2 miljoen winst over houd op jaar basis voor de eigen portomonee.

Ik ben ondernemer, dan niet in de IT maar het is hard en zwaar werk en aan het einde van de streep blijft er niet veel geld over netto.

[Baserk]

Doen wat je leuk vindt en miljoenen en miljoenen verdienen of niet doen wat je leuk vindt want dat gedelegeerd en wellicht<->waarschijnlijk nog meer miljoenen verdienen.
Dat lijkt me een makkelijke keuze.

[djwice]

Bij IT bedrijven verdien je echt niet zo snel 1 miljoen euro per jaar. Hoe goed je ook bent.

[Anoniem: 310408]

Maar als je dit soort talenten hebt, kan je dan niet veel beter een security IT bedrijf beginnen. Dan verdien je uiteindelijk veel en veel meer dan dit.

Omdat je dan werknemers moet vinden die kunnen wat jij kan. En in dit geval zal dat niet meevallen. Deze meneer is echt kick-ass goed in het vinden van kwetsbaarheden, en in mijn ervaring zijn dat soort mensen niet brilliant in het leiden van een bedrijf.

[tweaker2010]

Nou ja dat wereldje is niet zo groot, hij zal vast mensen kennen met (deels) dezelfde skills als hijzelf.
Met elkaar zou je het werk kunnen verdelen en wat continuiteit kunnen opbouwen ipv enkel zelfstandig.

[rob12424]

Zoals velen al aangeven een bedrijf beginnen is er niet even bij. Daarnaast de echt goeie programmeurs die ik ken in MIJN kennissenkring hebben vaak een lichte vorm van een soort autisme (bijvoorbeeld Asperge syndroom) Sociale connecties nis niet hun topprioriteit. (Klantenbinding hebben ze zelfs een hekel aan in veel gevallen denk ik)

Sterker nog ik kende een jongen die schizofreen en autistisch was. Die verdiende kapitalen per maand voor werken in een groep van 8 mensen op de wereld voor speciale olieboorberekeningen. Zijn werkgever en zijn ouders kregen alleen een groot probleem: het vrijwilligerswerk wat hij in het weekend deed (afval sorteren in de milieustraat) Vond hij leuker en wilde hij full time gaan doen. Nu kon hij het aardig lang uitzingen door wat hij al verdiend had. Maar een autist heeft vaak een totaal ander wereldbeeld, waar wij best wel eens jaloers op moeten zijn (denk ik dan)

Toch vraag ik mij af of dit slim is en niet anoniem iemand te vermelden. Nu heb je kans dat deze hacker een target wordt voor criminelen? Foto staat er bij enz.

[tweaker2010]

Ken genoeg autisten die prima samen kunnen werken. Maar je moet ze wel hun eigen ding laten doen waar ze goed in zijn, het is niet zo dat ze contact gestoord zijn ofzo. Een goede afspiegeling van verschillende persoonlijkheden daar heeft elk team zijn voordeel mee. Enkel rode en gele poppetjes werkt ook niet.

[martijnvanegdom]

En waarom zou dat goed zijn? Meer geld verdienen? Ik denk dat hij 2 miljoen dit jaar zichzelf prima kan onderhouden.. Zodra je goed aan je levensbehoeften kan voldoen levert meer geld lang niet altijd meer geluk op..

[gintoki]

Lijkt erop dat hij al een aardige business aan het uitvoeren is.

[Rickardur]

je kan bijna beter bij een bedrijf als security IT aan de gang gaan, het bedrijf komt dan voorop, maar je kunt altijd hobby matig nog deze dingen ernaast doen.

[dakathefox]

Ja, maar je hebt ook veel en veel meer gezeik. Je moet ineens personeel in dienst nemen, nog meer belastingen betalen, etc, etc.

[Sandwalker]

Ja maar dit is gewoon lekker gefocust doen waar je goed in bent en daardoor misschien wel leuker.

[Flagg]

Hij is al wat ouder ws en snapt dat meer geld niet meer gelukkig is.

[hooibergje]

Dan krijg je ook allerlei andere verplichtingen, moet je allerlei papierwerk doen waar je misschien helemaal niet op zit te wachten. Misschien vindt-ie dit gewoon leuk.

[BasZer]

Moet je dan nog meer geld verdienen dan dit (in een paar jaar)? 🧐

[brandaris54]

Dat is een optie, maar zeker als je personeel hebt brengt een bedrijf ook veel verantwoordelijkheden met zich mee. Om te beginnen zijn er allerlei zaken, die anderen ook al aangegeven hebben (boekhouding, personeelsbeleid etc). Daarvoor kun je mensen in dienst nemen of ze op uitbesteden, maar je moet dan ook wel voor enige kontinuïteit zorgen en dat brengt weer allerlei zorgen mee. Deze man kan als hij dat wil ook drie maanden op vakantie gaan en daarna weer verder gaan. Hoeveel geld heb je nodig om prettig te leven. Als ik lees dat hij in 3 maanden 300.000 dollar binnenharkt, kan ik me voorstellen dat dat ruim voldoende is om een jaar prettig te leven.Veel mensen hebben niet de behoefte om elk jaar een Ferrari te kopen en een enorm huis of meerder huizen te hebben. Als hij zijn geld een beetje verstandig belegt, werken in principe ook anderen voor hem en verdienen geld voor hem, maar hij heeft er nauwelijks sores van.

[Theo]

Het allergrootste nadeel van een bedrijf hebben/runnen, of ervoor werken is het hebben van verplichtingen. Je _moet_ je uren maken, je _moet_ de software van de klant testen. Je _moet_.....

Nu hoeft hij niets. Hij moet niets en doet lekker wat hij wil, wanneer hij dat wil en met de software die hij wil en verdient er ook nog een heel royaal mee. Heeft hij zin om iets te zoeken bij Facebook? Dan doet hij dat. Even zin een een maandje te zuipen en feesten? Geen probleem. Daarna proberen Sony te hacken omdat hij niet tevreden was over z'n laatste Sony product, en de hack, en de bounty daarvoor zijn manier van revanche is? Ook geen probleem. (Sony is even een willekeurig voorbeeld)

Die vrijheid/flexibiliteit heb je niet wanneer je het woord 'moet' introduceert. En met het starten van een bedrijf, of het werken voor een bedrijf is er altijd wel ergens een 'moet' aanwezig gezien er altijd een opdrachtgever/werkgever/contract, en dus een verwachting is. Nu is dat alles niet aanwezig en kan hij doen en laten wat hij wil zonder dat iemand 'm ook maar een centimeter in de weg zit.

[windsurfing1983]

Waarom zou deze man moeten werken voor zijn geld. Als hij zo goed is in Hacken sleept hij wel op een andere manier geld binnen. Waar hij veel meer aan overhoud

[Wannial]

Titel is vrij suggestief @Tijs Hollander. Het doet vermoeden dat deze beste man een bugbounty van 2 miljoen gekregen heeft voor het melden van 1 bug, niet een totaal over de afgelopen tijd.

[sOid]

Da’s een flinke smak geld!

Werken dit soort hackers eigenlijk alleen of hebben ze werknemers die ondersteuning leveren? Voor zo’n bedrag kun je natuurlijk prima iemand in dienst nemen.

[Orangelights23]

Ethisch hacker hier. Meeste wordt in kleine selecte groepen uitgezocht, maar de bug zelf vinden is 9 van de 10 keer door 1 persoon.

Helaas ben ik niet zo goed, en heb ik te weinig tijd, dat ik zelf aan bug bounties mee kan doen, maar voerde wel lentesten uit bij mijn vorige werkgever. Het blijft heel interessant dat je met een basiskennis web applicaties en infrastructuur stiekem al heel veel kapot kunt maken.

[MrFax]

Een boel contacten zal hij wel hebben.

[kakanox]

Het loont ook gewoon de moeite om een bedrijf te beginnen. Als de potentiële winst een miljoen is kan je 3 of 4 werknemers prima hebben.

Offtopic: Bedankt weer, ik zat weer op m'n scherm te blazen.

[Bomb-el]

3 of 4 ook... 250.000 dollar per werknemer. 6 a 8 kan dus ook prima😉

[kakanox]

Als je alleen rekent met de loonsom, geen rekening houdt met verdere kosten die horen bij het hebben van werknemers en nul achter de hand wil houden voor risico's in de toekomst kan dat zeker ;-)

Werknemers zijn fijn maar duur. Een securityspecialist zal waarschijnlijk geen professionele interieurverzorgers aannemen, maar mensen die het potentieel hebben om zelfstandig vrijwel evenveel te verdienen.
Daarnaast: Voordat ik weer iemand aanneem staat er één jaarsalaris van zo'n persoon op de bank niks te doen. Naarmate je er meer hebt kan die reserve een beetje dalen, maar onder de 10 medewerkers wil het geld nog weleens hard naar buiten vliegen als het even tegen zit.

[Reactie gewijzigd door kakanox op 22 juli 2024 15:05]

[Zer0]

Als de potentiële winst een miljoen is kan je 3 of 4 werknemers prima hebben.

Je kunt natuurlijk wel werknemers in dienst nemen, maar als je dan niks vind heb je alleen maar kosten, niks winst....

[Nimac91]

Dat is veel te simpel gezegd. Ondernemer worden is ander werk dan het hacken zelf. Als je de succesvolste hacker ter wereld bent ben je gek als je ineens je focus gaat zetten op het runnen van een bedrijf. Doe gewoon waar je goed in bent en laat het starten van een onderneming voor ergens in de toekomst.

Denk dat mensen echt onderschatten wat ondernemen inhoud. Wie zegt dat zijn potentiele winst een miljoen is als ie een bedrijf start? De tijd die verloren gaat aan de onderneming alleen al kost hem half zijn omzet en focus. Je bent ook niet langer alleen hacker als je een bedrijf moet runnen. Laat dat lekker over aan iemand anders en laat hem doen waar hij goed in is tot ie wat anders wilt. 1,2 miljoen per jaar en mensen roepen hier dat hij wat anders moet gaan doen? Proberen jullie dat maar eens.

[kakanox]

Zelfs dan is het idd nog veel te simpel. Ik ging even uit van mezelf; ga alleen best lekker maar ben toch ook een echte ondernemer gebleken.

Al heb ik geen 1,2 miljoen per jaar winst. Of omzet.

[Reactie gewijzigd door kakanox op 22 juli 2024 15:05]

[zvbhvb]

Ehm ZZP-er gaat ook prima hoor.
Waarom extra kosten maken door mensen in dienst te nemen als je flink geld over houdt als buffer.

[Ircghost]

Mooie mijlpaal! Responsible & paid disclosure is een mooie motivatie .

[kodak]

Het is zeker een mijlpaal dat er in totaal zoveel aan een bughunter betaald is. Maar omdat er hoe dan ook veel geld mee te verdienen is terwijl bedrijven verschillende beloningen geven zegt die mijlpaal niet heel veel meer.

Misschien zijn er wel bughunters die dezelfde soort gevaarlijke fouten bij andere bedrijven hebben gevonden maar ondertussen minder beloning hebben gekregen omdat die bedrijven er niet zoveel voor willen betalen.

[Manke]

Mooie korte carriere, die is binnen.

[418O2]

Klinkt leuk, maar met twee miljoen moet je wel heel zuinig leven om je carrière te kunnen beëindigen

[kikibu]

Nee hoor, gewoon in een wereld-index fonds en 3% elke jaar cashen, 80k p. jaar belastingvrij moet zat zijn.

Echter moet je wel bedenken dat hij ws. gewoon 60-70% belasting over dit inkomen heeft betaald, dus gaat het niet helemaal op.

[Reactie gewijzigd door kikibu op 22 juli 2024 15:05]

[Trippol]

Heeft dit iets te maken met de release van cyberpunk 2077?

[Pinkys Brain]

Is dit verdiend door puur handmatig code te doorzoeken met bestaande tools, of zijn de grootverdieners zelf toolmakers zodat ze meer van het zoeken kunnen automatiseren?

[Reactie gewijzigd door Pinkys Brain op 22 juli 2024 15:05]

[Anoniem: 304028]

https://www.hackerone.com...ht-interview-inhibitor181

[PhoeniXII]

ik vind het gewoon leuk dat dit soort berichtgeving ook aanwezig is,
kan potentiële hackers tonen, en wellicht aansporen om ethisch te hacken daar dat loongevend kan zijn.
altijd leuk wanneer je werk gewaardeerd word

[Anoniem: 315463]

Er word in dit artikel niet echt ingegaan op het werk van deze hacker. Alleen maar hoeveel geld hij verdiend.