Interview: hoe een programmeur naar ethisch hacker switcht

Wanneer je ethisch hacker Joost hoort praten over zijn werk, begint hij te glimlachen alsof hij het over World of Warcraft (of een andere favoriete game) heeft. Want ergens is hacken dat ook een beetje: puzzelen, proberen, struikelen, opnieuw proberen. En dan die kick van het moment dat alles op zijn plek valt. Maar Joost zijn loopbaan begon niet als ethisch hacker. Hij was programmeur. Een goede.

In dit artikel duiken we In Joost’s verhaal. Hoe is hij hacker geworden? We kunnen toekomstige hackers meteen geruststellen: je hoeft er niet per se een opleiding voor te volgen. Maar: je moet wel enorm leergierig zijn!

“Programmeren is superleuk,” vertelt hij over zijn vorige werk. “De enige limitatie is je eigen creativiteit. Dat houdt het interessant.” Toch merkte hij iets. Waar collega’s zich stortten op functionaliteiten, werd hij steeds vaker aangetrokken door de beveiligingsstukken van een project. Die ene controle, dat ene randje waar iets mis kon gaan. Daar wilde hij alles van weten. 

Nog op zoek naar een functie als ethisch hacker? Kijk of er een vacature openstaat!

De vroege vonk: een nieuwsgierige puber die wilde begrijpen hoe dingen werken

Toch begon zijn interesse in hacken al een stuk eerder. Op de middelbare school had Joost al de eerste signalen dat hij anders naar systemen keek dan veel van zijn klasgenoten. “Op de middelbare school speelde ik al met hacking en trojans,” vertelt hij. Gelukkig niet als cybercrimineel in wording (had gekund op die leeftijd). Nee, hij wilde gewoon écht begrijpen hoe dingen werkten. En: hoe hij ze uit elkaar kon trekken. 

Die vroege fascinatie was onschuldig en leek misschien zelfs tijdelijk. Joost: “Ik vond hacken altijd gewoon interessant. Maar toen heeft het een tijdje stilgelegen.” Maar, zoals later zou blijken, was dit precies het soort nieuwsgierigheid dat hem jaren later richting het Red Team van Cyberlab zou duwen.

De programmeur die ongemerkt steeds dichter bij security kwam

Maar eerst even terug naar zijn eerste stap in zijn carriere. Namelijk als software engineer: geen verrassende keuze voor iemand die zoveel plezier haalde uit logisch denken en creativiteit. Code schrijven gaf hem voldoening. Hij kon bouwen wat hij wilde, problemen oplossen die uitdagend genoeg waren om hem scherp te houden en zichzelf steeds opnieuw uitdagen.

En toch… zat er iets te broeien.

“Als ik aan een project werkte, vond ik de securityonderdelen leuker. Ik ging daar automatisch meer tijd aan besteden dan aan de rest.”

Hij zei er verder niets van: aan zichzelf niet, aan collega’s niet. Maar onbewust was dit het kantelpunt. De momenten waarop hij nét wat langer bleef hangen bij beveiligingsvragen, waren de eerste signalen dat zijn talent op een ander vlak meer tot zijn recht zou komen.

En toen kwam Crimediggers zijn richting veranderen

De echte omslag kwam op een dag dat hij, zoals zoveel techneuten, eindeloos door online bronnen aan het scrollen was. “In mijn werk als programmeur was het moment dat ik me realiseerde: ik wil iets anders, toen ik cybersecurity challenges tegenkwam.” Daar zat één challenge tussen die alles in beweging zette: “Ik kwam Crimediggers van de politie tegen. Dat vond ik super leuk!”

Die ene positieve ervaring bleek de ingang naar een heel nieuw veld. Joost rolde bijna vanzelf de wereld van Capture the Flag-wedstrijden (wedstrijden die hackers uitdagen zo snel mogelijk iets te vinden) in.  Hier kon hij al zijn puzzel- en speurdrang in kwijt. 

Het hek van de dam: Hack The Box en het échte begin van hacken

Maar: de Capture the Flag-wedstrijden (CTF’s) vormden slechts het opstapje. Eén platform zorgde voor de echte versnelling: Hack The Box. “Via de CTF-challenges ben ik bij Hack The Box gekomen. En toen was het hek van de dam.” Hij hoeft niet uit te leggen wat dat betekent: de grijns doet dat al.

“Het is een platform waar je los kan gaan in fictieve situaties, zonder dat het illegaal is. Dus daar kon ik mezelf echt trainen in het serieuze hackwerk.”

En hier gebeurde iets onverwachts. Zijn achtergrond als programmeur bleek enorm van pas te komen.

Hoe programmeren ineens een superkracht werd

Terwijl Joost hacktechnieken leerde, merkte hij dat hij veel sneller vooruitging dan hij had verwacht. En de reden was simpel: “Het bleek dat programmeren daar verrassend goed op aansluit, op hacken.”Hij somt het bijna achteloos op, maar de kern raakt precies wat veel ontwikkelaars niet doorhebben over hun eigen skillset.

“De kennis die ik had als programmeur kon ik op allerlei manieren toepassen binnen cybersecurity en hacking.” Waar anderen soms worstelen met het begrijpen van structuren, logica en applicatiegedrag, keek Joost er op een manier naar die hij al jaren trainde.

En zo groeide langzaam maar zeker het besef: dit is niet zomaar een interesse. 

Hoe programmeerkennis verandert in hackingvaardigheid

“Als programmeur heb je gewoon al een bepaald niveau aan kennis over code en hoe systemen werken,” zegt hij. Het is die fundamentele vertrouwdheid met structuren en logica die hem een natuurlijke voorsprong gaf zodra hij begon te hacken. Bij webapplicaties is dat voordeel nog groter.

“Een programmeur heeft enorm diepe kennis van hoe een webapplicatie werkt. Als iemand anders die deze achtergrond niet heeft een applicatie zou willen hacken, is het veel moeilijker. Een programmeur weet vaak de ins en outs en dus automatisch ook hoe je deze moet misbruiken.”

Maar hij benadrukt meteen: dit is géén uitgemaakte zaak.

Hoe je kijkt, is bepalend

“De meeste programmeurs kijken er niet op deze manier naar. Ze hebben de kennis, maar ze denken er niet op die manier over na.” Het verschil zit hem dus niet in wat je kúnt, maar in hoe je kijkt. Of zoals Joost het zegt: “Het is een mindset switch die je moet hebben.”

En zodra die mindset switch er is, komt ook al snel de realisatie dat je als ethisch hacker je kennis nog steeds in kan zetten om te programmeren: “Het schrijven van je eigen hacking tools: daarbij is een programmeerachtergrond super handig. Je gebruikt het dus voor van alles als hacker!”

Hij vat het samen met een knipoog: “Je bent hacker, die programmeert. De meeste hackers zijn uitstekende programmeurs. Het is vrijwel altijd zo dat goeie hackers goed kunnen programmeren, haha.”

Hacken hoef je niet op school te leren

“Mijn studie heb ik in de netwerkhoek gedaan. Maar niks op de studie leert je echt hacken.” In plaats daarvan wijst hij op iets dat veel toekomstige hackers gerust zal stellen: “Ik ben altijd van mening dat je grotendeels jezelf leert hacken.”

Dat betekent oefenen, prutsen, testen, falen, opnieuw proberen. Niet één keer, maar continu. In Joost’s geval ook in de weekenden. “Het leren is iets wat nooit stopt: maar dat vind ik juist zo leuk eraan!”

Voor veel IT’ers voelt die voortdurende ontwikkeling als een uitdaging. Je moet er net zin in hebben: maar voor Joost is het exact de reden dat hij dit werk wil doen. Het continu bezig zijn met jezelf verbeteren moet dus zeker in je zitten als hacker. Joost: “Ik denk dat heel veel IT-mensen dat hebben.”

Hacken zit in je hoofd, ook buiten werktijd

Wanneer Joost over zijn werk vertelt, wordt duidelijk dat hacken voor hem geen functie is, maar een manier van denken. Dit zijn echt zijn woorden: “Hacken in zijn algemeen is gewoon vet.” Die energie stopt niet wanneer de werkdag voorbij is.

“Ik zit naast mijn werk ook vaak aanvalstechnieken te onderzoeken. Eigenlijk ben ik continu met hacken bezig.” Niet omdat het moet, maar omdat het leuk is. “Je blijft continu leren. Er worden de hele tijd nieuwe dingen ontdekt. Je moet echt bijblijven met aanvalstechnieken, kwetsbaarheiden, techniek, etc.”

De hacker-mindset: wat het wél is en wat niet

Maar: wat maakt een hacker een hacker? Wanneer Joost uitlegt wat een hacker typeert, gaat het nauwelijks over tools. Het gaat over nieuwsgierigheid, koppigheid en plezier in het proces. “Hacker zijn zelf omschrijft eigenlijk al een mindset: out-of-the-box denken is super belangrijk. Dat klinkt cliché, maar dat is het wel.”

Een hacker wil niet simpelweg de oplossing. Hij wil begrijpen. “Hij vindt het leuk om dingen echt uit te vogelen. Mensen die niet willen dat ze met één commando de oplossing aangereikt krijgen, maar de weg ernaartoe zelf ook echt leuk vinden.” 

Hacken is niet per definitie criminaliteit

Volgens Joost ligt er een groot misverstand rondom hacken. “Voor mij zijn de termen hacken en criminaliteit ergens los van elkaar. Een slotenmaker is niet meteen een inbreker.” Techniek zegt niets over intentie. “Een ethisch hacker vindt het leuk om te klooien, te onderzoeken, te slim af te zijn: maar nooit om mensen op te lichten of te benadelen.” Een ethisch hacker zet deze kennis in om klanten te helpen veiliger te worden.

Ethisch hacken is dus ook veel communiceren: misschien wel meer dan je denkt

“Het is belangrijk om communicatief sterk te zijn. Want je hebt contact met klanten. Je bent er tenslotte uiteindelijk om hen te helpen.” Dat communiceren gaat niet alleen verbaal, ook in schrift: “Waar mensen misschien niet aan denken is dat je veel rapporteert. De klant moet natuurlijk lezen in een rapport wat je allemaal gevonden hebt! En: hoe ze het op kunnen lossen.”

Joost benadrukt dat hacken nooit stopt bij ‘iets breken’. “Je bent niet alleen bezig met dingen slopen: je moet ook echt de oplossing zoeken. Want ja: je moet de klant vertellen hoe ze het op kunnen lossen.”

Het is precies die combinatie (technisch diep kunnen gaan en daarna helder kunnen uitleggen wat je deed) die een goede ethisch hacker onderscheidt van iemand die alleen trucjes uitvoert. Of van een hacker die alleen maar kan breken, en niet kan bouwen. Want dat laatste is essentieel. 

Waarom Joost zich thuis voelt bij Cyberlab

Joost werkt inmiddels heel wat jaartjes bij Cyberlab. Waarom hij specifiek hier blijft plakken? Joost begint meteen over vrijheid: “Als wij iets willen ontwikkelen, dan kunnen we dat ook doen. Als het maar onderbouwd is en past met de opdrachten.”

Het Red Team van Cyberlab wordt niet beperkt door hokjes. “Als je een idee hebt en je bent enthousiast, dan kan je dat ook gewoon doen. Dus we werken niet in hokjes. Of zijn strict gebonden. We mogen echt wel sturing geven aan wat het Red Team doet. Bezig zijn met aanvalstechnieken. De dienstverlening verbeteren.”

Voor iemand die leeft van nieuwsgierigheid en graag onderzoekt hoe dingen écht werken, is dat precies de juiste omgeving.

Is dit herkenbaar? Misschien ben jij precies het type dat we zoeken

Joost sluit zijn verhaal af met iets wat veel programmeurs en IT’ers zullen herkennen. “Misschien ben je al een beetje ermee bezig geweest. Heb je security altijd interessant gevonden. Maar ben je er nooit actief mee bezig geweest er werk van te maken. Maar dat kan dus wel.”

En daar zit misschien wel de belangrijkste boodschap van zijn verhaal: je hoeft niet als hacker te beginnen om er één te worden. Soms ben je het al: lang voordat je het zelf doorhebt.

Voel je dat het tijd is om het werkveld in te springen als ethisch hacker? Bekijk dan deze vacature en solliciteer!