IRIS C2: l’azienda di exploit offensivi con un passato criminale

Introduzione

Nel panorama della sicurezza offensiva è recentemente emersa IRIS C2 (@C2IRIS), una società che dichiara di acquisire zero‑day e catene di exploit fino a 7 milioni di dollari a segnalazione e di fornire servizi di hacking (principalmente telefonico) al governo statunitense. Dietro la facciata si celano però Jack Burkman e Jacob Wohl, due nomi tristemente noti per frodi, campagne di disinformazione e violazioni dei diritti civili. L’operazione, condotta attraverso Calvexa Group LLC, solleva seri allarmi per l’intero ecosistema della cybersecurity.

Analisi tecnica

Le premesse tecniche di IRIS C2 sono fragili. Né Burkman (60 anni) né Wohl (28) possiedono credenziali o esperienza documentata nella ricerca di vulnerabilità: lo stesso Wohl ha affermato di essere un autodidatta. I loro trascorsi giudiziari parlano invece di frode telematica (un sistema di robocall mirato a sopprimere il voto afroamericano, 2020–2025), sanzioni FCC per 5,1 milioni di dollari, multe civili per oltre un milione, truffe finanziarie e false accuse sessuali contro figure pubbliche.

Calvexa Group LLC, registrata come federal contractor ma priva di contratti governativi attivi, ha sede legale in un indirizzo riconducibile al lobbista Burkman. Sul piano operativo, IRIS C2 batte in modo aggressivo X e LinkedIn per agganciare ricercatori, talvolta anche durante conferenze internazionali, millantando commesse pubbliche inesistenti. La totale assenza di un framework tecnico‑legale credibile lascia presagire che eventuali exploit acquisiti potrebbero essere sfruttati per estorsioni, operazioni di disinformazione o rivendita a soggetti non autorizzati, coerentemente con lo storico modus operandi dei due fondatori.

Impatto

L’ingresso di figure con un simile curriculum nel mercato degli zero‑day produce rischi multi‑livello:

• Minaccia diretta per utenti e imprese: vulnerabilità critiche (browser, sistemi operativi, dispositivi mobili) potrebbero essere usate in attacchi indiscriminati.
• Erosione della fiducia nel mercato legale: la presenza di intermediari fraudolenti danneggia la reputazione dei programmi di bug bounty e della compravendita regolamentata, disincentivando i ricercatori dalla divulgazione responsabile.
• Rischio legale per i ricercatori: cedere exploit a soggetti con una fedina penale così marcata può configurare concorso in attività illecite, con ripercussioni penali e civili per il fornitore stesso.

Mitigazione

Per difendersi da operazioni analoghe è fondamentale eseguire una rigorosa due diligence su ogni potenziale acquirente:

• Verificare l’esistenza effettiva di contratti pubblici (es. USAspending.gov) e la reputazione dei fondatori.
• Controllare precedenti penali, registrazioni societarie e referenze nel settore cybersecurity.
• Nel caso specifico, evitare qualsiasi collaborazione o cessione di codice a IRIS C2 e Calvexa Group.

I ricercatori contattati da queste entità dovrebbero:

• Non rispondere alle comunicazioni.
• Segnalare immediatamente l’accaduto ai CERT nazionali, alle forze di polizia o ai responsabili della propria organizzazione.
• Informare anche gli organizzatori di conferenze dove tali soggetti potrebbero tentare approcci.

Le agenzie governative dovrebbero inoltre mappare con attenzione la propria catena di fornitura offensiva, escludendo sub‑fornitori non accreditati e con profili criminali.

FAQ

1. IRIS C2 ha davvero contratti con il governo americano?
No. Nonostante Calvexa Group LLC risulti registrata come federal contractor, non vi sono evidenze di commesse pubbliche attive. L’indirizzo legale rimanda a Jack Burkman, ma l’azienda non ha mai dimostrato legami operativi con agenzie statunitensi.

2. Quali sono i rischi concreti nel cedere un exploit a IRIS C2?
Il pericolo è triplice: (a) gli exploit potrebbero essere usati per estorsioni, manipolazione dell’informazione o attacchi diretti; (b) la vulnerabilità potrebbe essere rivenduta senza alcun controllo; (c) il ricercatore potrebbe essere ritenuto corresponsabile di eventuali reati commessi con quell’exploit, con gravi conseguenze legali.

3. Come riconoscere un approccio sospetto da parte di questa società?
IRIS C2 contatta principalmente via X (@C2IRIS), LinkedIn o tramite il sito irisc2.com, promettendo compensi fino a 7 milioni di dollari e mostrando toni aggressivi. L’assenza di competenze tecniche dimostrabili, la registrazione sotto Calvexa Group e la nota fedina penale dei fondatori sono chiari segnali d’allarme. Ogni comunicazione va gestita con estrema cautela e segnalata alle autorità.