Hij is een hacker, maar wel míjn hacker

John Schiefer werd vorige week veroordeeld tot 4 jaar cel wegens de exploitatie van een botnet, fraude en diefstal. Zijn werkgever is het er niet mee eens. "Iedereen in de IT kent zo zijn geheimpjes."

Hij is een hacker, maar wel míjn hacker

Jason Calacanis, oprichter en CEO van de zoekmachine-startup Mahalo.com, besloot zijn IT-medewerker John Schiefer in dienst te houden, zelfs toen hij al wist dat Schiefer als hacker flinke schade had aangericht. Schiefer werd vorige week in Amerika veroordeeld tot vier jaar gevangenisstraf voor diefstal van gegevens en fraude met behulp van een botnet.

Schiefer bekende in april schuld aan vier misdrijven, waaronder inbraak op computers, het onderscheppen van gegevens en 'wire fraud', een term die in het Amerikaanse rechtssysteem wordt gebruikt om zware straffen te kunnen uitdelen voor vormen van oplichting via elektronische communicatiemiddelen. Hij is tevens de eerste persoon die in Amerika is aangeklaagd voor misbruik van een botnet.

Schiefer en zijn kompanen infecteerden meer dan 250.000 pc's en stalen gebruikersnamen en wachtwoorden die ze vervolgens gebruikten om in te breken bij PayPal en andere financiële instellingen.

Calacanis, die bij de veroordeling aanwezig was, publiceerde vorige week een blogposting waarin hij zijn steun betuigde aan Schiefer. Hij zegt daarin onder meer dat hij graag had gezien dat de veroordeelde hacker onder huisarrest met toezicht was geplaatst, in plaats van te worden opgesloten in een gevangenis.

Toen Schiefer in dienst kwam bij Mahalo, was het bedrijf niet op de hoogte van zijn criminele activiteiten, zegt Calacanis. Toen hij en andere leidinggevenden een paar maanden later ontdekten wat Schiefer zoal had uitgespookt, was een ontslag op staande voet volgens Calacanis 'te makkelijk'. In plaats daarvan besloot Calacanis Schiefer een kans te geven, nadat hij had begrepen dat de man "misbruikt was als kind, weinig zelfbeheersing had en hoe hij op een of andere manier tot rust was gekomen bij het team van Mahalo".

Calacanis schrijft ook dat wat hem betreft Schiefer een "boos dom kind" was toen hij zijn botnet-aanvallen begon, en dat "bijna alle getalenteerde ontwikkelaars wel eens de grens hebben opgezocht toen ze nog jong waren. Iedereen in de technologie kent dat smerige duistere geheimpje".

In een interview met onze collega's van Computerworld bleef Calacanis volledig achter zijn medewerker staan:

Er zijn mensen die vinden dat Schiefer zijn verdiende loon heeft gekregen. Waarom vindt u dat John een lichtere straf had moeten krijgen?

Als ik John niet had gekend, denk ik dat ik ook zou vinden dat hij zijn verdiende loon heeft gekregen, en er had ook nog wel een jaartje of twee bij gekund. Maar nu ik hem ken, kan ik je vertellen (en zou hij je zelf ook vertellen) dat zijn gedrag voortgekomen is uit gebrek aan begeleiding, onvolwassenheid en woede. Nu ik hem heb leren kennen, heb ik hem niet alleen zien groeien, maar ook tot bloei zien komen in zijn werk binnen een team van intelligente techneuten.

In uw blog schrijft u dat u John, of mensen zoals hij, nooit in dienst zou hebben genomen als u tijdens de sollicitatieprocedure op de hoogte was geweest van zijn achtergrond. Heeft deze ervaring die mening veranderd?

In het verleden zou ik waarschijnlijk nooit hebben overwogen een misdadiger in dienst te nemen bij mijn startup. In feite zou zo iemand niet eens voor een gesprek worden uitgenodigd. Maar na deze ervaring denk ik dat ik iets geleerd heb over rehabilitatie, en de rol die privé-ondernemingen daarin kunnen spelen.

Na deze ervaring zal ik zeker iemand die is veroordeeld voor computercriminaliteit overwegen voor een positie. Maar ik denk wel dat je ieder geval en ieder persoon apart moet bekijken. Niet alle hackers zijn uit hetzelfde hout gesneden.

Wat voor rol speelt John in jullie onderneming?

John is een systeem-engineer, wat betekent dat hij werkt aan webservers. Maar ik vind het wel belangrijk erop te wijzen dat hij geen toegang heeft tot onze database servers, en dat al onze wachtwoordgegevens versleuteld zijn, zodat hij noch iemand anders van het ontwikkelingsteam er toegang toe heeft. Bovendien houden we toezicht op zijn werk. Daarnaast zijn we een content site, wij handelen niet in gevoelige gegevens. Hij kan dus in feite hooguit onszelf schaden, niet onze gebruikers. Als John dat zou willen, zou hij Mahalo op zwart kunnen zetten, maar we zijn bereid dat risico te nemen - we vertrouwen hem.

Hoe denk jij in zijn algemeenheid over bedrijven die veroordeelde hackers in dienst nemen om ze te helpen met beveiligingszaken?

Het is vrij duidelijk dat veel (misschien wel de meeste) mensen uit de hackersgemeenschap die een grens overschrijden, dat vooral doen uit nieuwsgierigheid, omdat het een uitdaging is, en omdat ze graag de bewondering van hun medestanders willen oogsten. Dat zijn precies dezelfde redenen waarom iemand een ondernemer wordt, en waarom ze bijvoorbeeld bedrijven als Google, Yahoo of Mahalo beginnen.

Anders gezegd: met de basiswens van veel van die mensen is niets mis, maar het komt helemaal verkeerd tot uiting. Als gemeenschap hebben we hele moeilijke beslissingen te nemen over dit soort individuen. Het is een feit dat ze de gemeenschap schade toebrengen met hun daden, en onze groeiende digitale afhankelijkheid maakt hun daden des te betekenisvoller.

Dus hoe ga je dan het beste om met hackers die te ver gaan?

Het is duidelijk dat we mensen die de grens over gaan ten voorbeeld moeten stellen, maar we moeten ook compassie tonen en steun bieden aan degenen die bereid zijn zichzelf te rehabiliteren. In dit geval geloof ik dat John best onder huisarrest en onder permanent computertoezicht (op zijn eigen kosten) gesteld had kunnen worden om de wereld een stukje beter te maken. Ik hoop dat vier jaar in de cel zijn progressie niet schaadt, en dat hij, als hij de gevangenis verlaat, zijn leven weer kan oppakken waar hij het heeft achtergelaten: als een vriend, een hardwerkend teamlid, en een briljante deelnemer aan de maatschappij.

Hebt u hier een mening over? Laat het ons weten!