Op een rustige woensdagochtend in augustus 2017, rond 7 uur, stapte Marcus Hutchins uit de voordeur van de Airbnb-mansion in Las Vegas, waar hij anderhalve week had gefeest. Hutchins, een lange, 23-jarige hacker met een bos blondbruin krullend haar, kwam naar buiten om zijn bestelling van een Big Mac en frietjes van een Uber Eats-bezorger in ontvangst te nemen. Terwijl hij op blote voeten op de oprit van de mansion stond, gekleed in alleen een T-shirt en spijkerbroek, merkte Hutchins een zwarte SUV op die op straat geparkeerd stond - een voertuig dat verdacht veel leek op een FBI-observatie.
Hij staarde blanco naar het voertuig, zijn geest nog beneveld door slaapgebrek en de legale wiet uit Nevada die hij de hele nacht had gerookt. Vluchtig vroeg hij zich af: Is dit het dan eindelijk? Maar zodra de gedachte opkwam, wuifde hij hem weg. De FBI zou nooit zo openlijk te werk gaan, hield hij zichzelf voor. Zijn voeten begonnen al te schroeien op de hete oprit. Hij pakte de McDonald's-tas en ging terug naar binnen, door de binnenplaats van de mansion, en de poolhouse in die hij als slaapkamer gebruikte. Met het spookbeeld van de SUV volledig uit zijn gedachten gerold, maakte hij nog een joint met de rest van zijn wiet, rookte die op terwijl hij zijn burger at, en pakte toen zijn koffers voor het vliegveld, waar hij een eersteklas vlucht naar huis naar het VK had geboekt.
De held die het internet redde
Hutchins kwam net van een epische, uitputtende week op Defcon, een van 's werelds grootste hackconferenties, waar hij als een held werd gevierd. Minder dan drie maanden eerder had Hutchins het internet gered van wat destijds de ergste cyberaanval in de geschiedenis was: een stuk malware genaamd WannaCry. Net toen die zelfverspreidende software wereldwijd begon te exploderen en data op honderdduizenden computers vernietigde, was het Hutchins die de geheime 'kill switch' in de code ervan vond en activeerde, waardoor de wereldwijde dreiging van WannaCry onmiddellijk werd geneutraliseerd.
Deze legendarische prestatie van whitehat hacking had Hutchins in kringen van Defcon praktisch gratis drankjes voor het leven opgeleverd. Hij en zijn gevolg waren uitgenodigd voor elke VIP-hackersparty op de Strip, meegenomen voor diners door journalisten en benaderd door fans die selfies wilden. Het verhaal was immers onweerstaanbaar: Hutchins was de verlegen geek die in zijn eentje een monster had verslagen dat de hele digitale wereld bedreigde, terwijl hij in zijn slaapkamer in het afgelegen westen van Engeland achter een toetsenbord zat.
Nog steeds zwemmend in de lofzang, was Hutchins niet in staat om stil te staan bij zorgen over de FBI, zelfs niet nadat hij een paar uur later de mansion verliet en opnieuw dezelfde zwarte SUV over de straat zag geparkeerd staan. Hij stapte in een Uber naar het vliegveld, zijn geest nog zwevend in een door cannabis veroorzaakte wolk. Rechtbankdocumenten zouden later onthullen dat de SUV hem onderweg volgde - dat wetshandhavers zijn locatie gedurende zijn tijd in Vegas periodiek hadden gevolgd.
De onverwachte arrestatie
Toen Hutchins op het vliegveld aankwam en door de veiligheidscontrole ging, was hij verrast toen TSA-agenten hem zeiden dat hij zijn drie laptops niet uit zijn rugzak hoefde te halen voordat hij deze door de scanner deed. In plaats daarvan, terwijl ze hem doorlieten, herinnerde hij zich dat ze speciaal moeite leken te doen om hem niet te vertragen.
Hij dwaalde rustig naar een luchthavenlounge, pakte een cola en ging zitten in een fauteuil. "Heb al meer dan een maand geen debugger aangeraakt nu," tweette hij. Hij maakte een bescheiden opschepperige opmerking over een erg dure schoen die zijn baas hem in Vegas had gekocht en retweette een compliment van een fan van zijn reverse-engineering werk.
Hutchins was bezig met het opstellen van een nieuwe tweet toen hij merkte dat drie mannen naar hem toe liepen: een stevige roodharige man met een sikje, geflankeerd door twee anderen in uniformen van Customs and Border Protection. "Ben jij Marcus Hutchins?" vroeg de roodharige man. Toen Hutchins bevestigde dat hij het was, vroeg de man in een neutrale toon of Hutchins met hen mee wilde komen, en leidde hem door een deur naar een privé-trappenhuis.
Toen stopten ze hem in handboeien. In een staat van schok, alsof hij zichzelf van een afstand zag, vroeg Hutchins wat er aan de hand was. "Dat komen we nog wel te weten," zei de man. Hutchins herinnerde zich dat hij mentaal door elke mogelijke illegale daad ging die hem mogelijk interesseerde bij de douane. Zeker, dacht hij, het kon niet dat ene ding zijn, die jarenoude, onuitsprekelijke misdaad. Was het dat hij misschien wiet in zijn tas had achtergelaten? Waren dit verveelde agenten die overdrijvingen deden over klein drugsbezit?
De agenten leidden hem door een beveiligingsruimte vol monitoren en lieten hem vervolgens neer in een verhoorkamer, waar ze hem alleen achterlieten. Toen de roodharige man terugkeerde, werd hij vergezeld door een kleine blonde vrouw. De twee agenten flitsten met hun badges: ze waren van de FBI.
De volgende paar minuten namen de agenten een vriendelijke toon aan en vroegen Hutchins naar zijn opleiding en Kryptos Logic, het beveiligingsbedrijf waar hij werkte. Gedurende die minuten stond Hutchins zichzelf toe te geloven dat de agenten misschien alleen meer wilden weten over zijn werk aan WannaCry, dat dit slechts een bijzonder agressieve manier was om zijn medewerking te krijgen bij hun onderzoek naar die wereldveranderende cyberaanval. Toen, 11 minuten in het interview, vroegen zijn ondervragers naar een programma genaamd Kronos.
“Kronos,” zei Hutchins. “Ik ken die naam.” En het begon tot hem door te dringen, met een soort gevoelloosheid, dat hij toch niet naar huis ging.
Jeugd en vroege fascinatie met computers
Veertien jaar eerder, lang voordat Marcus Hutchins een held of schurk voor wie dan ook was, vestigden zijn ouders, Janet en Desmond, zich in een stenen huis op een veeboerderij in het afgelegen Devon, slechts een paar minuten van de westkust van Engeland. Janet was verpleegster, geboren in Schotland. Desmond was maatschappelijk werker uit Jamaica en brandweerman toen hij Janet in 1986 in een nachtclub ontmoette. Ze waren verhuisd vanuit Bracknell, een forenzenstad 30 mijl buiten Londen, op zoek naar een plek waar hun zonen, de 9-jarige Marcus en zijn 7-jarige broer, met meer onschuld konden opgroeien dan het leven in de buurt van Londen kon bieden.
In eerste instantie bood de boerderij precies het idyllische leven dat ze zochten: De twee jongens brachten hun dagen door met ravotten tussen de koeien, kijkend hoe boerenknechten ze melkten en hun kalveren ter wereld brachten. Ze bouwden boomhutten en katapulten van losse stukken hout en reden mee in de tractor van de boer die hun huis aan hen had verhuurd. Hutchins was een slim en gelukkig kind, open voor vriendschappen maar stoïcijns en "zelfvoorzienend," zoals zijn vader, Desmond, het uitdrukt, met "een zeer sterk gevoel voor goed en kwaad." Toen hij viel en zijn pols brak tijdens het spelen, huilde hij geen enkele traan, zegt zijn vader. Maar toen de boer een kreupel, hersenbeschadigd kalf liet inslapen waarmee Hutchins een band had opgebouwd, huilde hij ontroostbaar.
Hutchins paste niet altijd bij de andere kinderen in het landelijke Devon. Hij was langer dan de andere jongens, en hij miste de gebruikelijke Engelse obsessie met voetbal; hij begon liever te surfen in het ijskoude water een paar mijl van zijn huis. Hij was een van de weinige gemengd-etnische kinderen op zijn school, en hij weigerde zijn kenmerkende bos krullend haar te knippen.
Maar bovenal onderscheidde Hutchins zich van iedereen om hem heen door zijn bovenmenselijke fascinatie en aanleg voor computers. Vanaf zijn zesde jaar keek Hutchins toe hoe zijn moeder Windows 95 gebruikte op de Dell-desktopcomputer van het gezin. Zijn vader was vaak geïrriteerd als hij hem de familiedeskcomputer zag demonteren of er vreemde programma's op installeerde. Hij begon al snel programmeren te zien als "een toegangspoort om te bouwen wat je wilde," zoals hij het zelf zegt, veel spannender dan zelfs de houten forten en katapulten die hij met zijn broer bouwde. "Er waren geen grenzen," zegt hij.
In de computerklas, waar zijn leeftijdsgenoten nog steeds leerden hoe ze tekstverwerkers moesten gebruiken, verveelde Hutchins zich hopeloos. De computers van de school beletten hem de spellen te installeren die hij wilde spelen, zoals Counterstrike en Call of Duty, en beperkten de sites die hij online kon bezoeken. Maar Hutchins ontdekte dat hij zich met programmeren uit die beperkingen kon werken. Binnen Microsoft Word ontdekte hij een functie waarmee hij scripts kon schrijven in een taal genaamd Visual Basic. Met die scriptfunctie kon hij elke gewenste code uitvoeren en zelfs niet-goedgekeurde software installeren. Hij gebruikte die truc om een proxy te installeren om zijn webverkeer via een server ver weg te leiden, waarmee hij de pogingen van de school om zijn web-surfen te filteren en te monitoren omzeilde.
De eerste stappen in hacking
Op zijn 13e verjaardag, na jarenlang strijden om tijd op de oude Dell van het gezin, stemden Hutchins' ouders ermee in hem zijn eigen computer te kopen - of beter gezegd, de componenten die hij vroeg, stuk voor stuk, om hem zelf te bouwen. Al snel, zegt Hutchins' moeder, werd de computer een "complete en totale liefde" die bijna alles anders in het leven van haar zoon overschaduwde.
Hutchins surfte nog steeds, en hij had een sport genaamd surf lifesaving opgepakt, een soort competitief reddingszwemmen. Hij blonk erin uit en zou uiteindelijk een handvol medailles op nationaal niveau winnen. Maar als hij niet in het water was, zat hij voor zijn computer, speelde videogames of perfectioneerde urenlang zijn programmeervaardigheden.
Janet Hutchins maakte zich zorgen over de digitale obsessie van haar zoon. In het bijzonder vreesde ze hoe de donkere randen van het web, wat ze met een halve grap het "internet spook" noemt, haar zoon zouden kunnen beïnvloeden, die ze als relatief beschut zag in hun landelijke Engelse leven.
Dus probeerde ze ouderlijk toezicht op Marcus' computer te installeren; hij reageerde door een simpele techniek te gebruiken om administratieve privileges te verkrijgen bij het opstarten van de pc, en schakelde de controles onmiddellijk uit. Ze probeerde zijn internettoegang via hun thuisrouter te beperken; hij vond een hardware-reset op de router die hem in staat stelde deze terug te zetten naar fabrieksinstellingen, en configureerde vervolgens de router om haar offline te zetten.
“Daarna hadden we een lang gesprek,” zegt Janet. Ze dreigde de internetverbinding van het huis volledig te verwijderen. In plaats daarvan kwamen ze tot een wapenstilstand. “We spraken af dat als hij mijn internettoegang herstelde, ik hem op een andere manier zou monitoren,” zegt ze. “Maar eigenlijk was er geen manier om Marcus te monitoren. Omdat hij veel slimmer was dan wij ooit zouden zijn.”
De duistere kant van het internet
Binnen een jaar na het krijgen van zijn eigen computer, verkende Hutchins een elementair hacking webforum, gewijd aan het aanrichten van chaos op het toen populaire instant messaging platform MSN. Daar vond hij een gemeenschap van gelijkgestemde jonge hackers die pronkten met hun uitvindingen. Eén schepte op over het creëren van een soort MSN-worm die zich voordeed als een JPEG: wanneer iemand het opende, stuurde de malware zichzelf onmiddellijk en onzichtbaar naar al hun MSN-contacten, van wie sommigen op de aas beeten en de foto openden, wat weer een reeks berichten zou afvuren, enzovoort, ad infinitum.
Hutchins wist niet wat de worm moest bereiken - of het nu voor cybercriminaliteit bedoeld was of simpelweg een spammy grap - maar hij was diep onder de indruk. “Ik dacht: wow, kijk eens wat programmeren kan doen,” zegt hij. “Ik wil dit soort dingen kunnen doen.”
Rond de tijd dat hij 14 werd, plaatste Hutchins zijn eigen bijdrage aan het forum - een simpele password stealer. Installeer het op iemands computer en het kon de wachtwoorden voor de webaccounts van het slachtoffer stelen van waar Internet Explorer ze had opgeslagen voor zijn handige autofunctie. De wachtwoorden waren versleuteld, maar hij had ook ontdekt waar de browser de decryptiesleutel verborg.
Hutchins' eerste stuk malware werd met goedkeuring ontvangen op het forum. En wiens wachtwoorden stelde hij zich voor dat gestolen konden worden met zijn uitvinding? “Dat dacht ik niet echt,” zegt Hutchins. “Ik dacht alleen: ‘Dit is een cool ding dat ik heb gemaakt.’”
Academische tegenslagen en schoolproblemen
Terwijl Hutchins' hackercarrière vorm begon te krijgen, verslechterde zijn academische carrière. Hij kwam 's avonds thuis van het strand en ging rechtstreeks naar zijn kamer, at voor zijn computer en deed dan alsof hij sliep. Nadat zijn ouders controleerden of zijn lichten uit waren en zelf naar bed gingen, ging hij terug naar zijn toetsenbord. “Onbewust van ons, zou hij tot diep in de nacht programmeren,” zegt Janet. Toen ze hem de volgende ochtend wekte, “zag hij er bleek uit. Omdat hij maar een half uur in bed had gelegen.” Hutchins' verbijsterde moeder ging op een gegeven moment zo ver dat ze haar zoon naar de dokter bracht, waar hij werd gediagnosticeerd met slaapgebrek als tiener.
Op een dag op school, toen Hutchins ongeveer 15 was, ontdekte hij dat hij uit zijn netwerkaccount was vergrendeld. Een paar uur later werd hij opgeroepen naar het kantoor van een schooladministrator. Het personeel daar beschuldigde hem ervan een cyberaanval op het netwerk van de school te hebben uitgevoerd, waarbij één server zo diep was beschadigd dat deze moest worden vervangen. Hutchins ontkende stellige elke betrokkenheid en eiste het bewijs te zien. Zoals hij het vertelt, weigerden de administrators het te delen. Maar hij was tegen die tijd berucht geworden bij het IT-personeel van de school omdat hij hun beveiligingsmaatregelen had genegeerd. Hij beweert, zelfs vandaag de dag nog, dat hij slechts de meest handige zondebok was. “Marcus was nooit een goede leugenaar,” beaamt zijn moeder. “Hij was nogal opschepperig. Als hij het had gedaan, zou hij het hebben toegegeven.”
Hutchins werd twee weken geschorst en permanent verbannen van het gebruik van computers op school. Zijn antwoord was vanaf dat moment simpelweg om er zo min mogelijk tijd door te brengen. Hij werd volledig nachtactief, sliep tot ver in de schooldag en sloeg vaak zijn lessen helemaal over. Zijn ouders waren woedend, maar behalve de momenten dat hij vastzat in de auto van zijn moeder, op weg naar school of om te gaan surfen, ontweek hij hun preken en straffen meestal. “Ze konden me fysiek niet naar school slepen,” zegt Hutchins. “Ik ben een grote kerel.”
De overstap naar HackForums
Hutchins' familie was tegen 2009 van de boerderij verhuisd, naar een huis dat de voormalige postkantoor van een klein dorpje met één pub bezette. Marcus nam een kamer bovenaan de trap. Hij kwam slechts af en toe uit zijn slaapkamer, om een diepvriespizza op te warmen of meer instantkoffie te zetten voor zijn nachtelijke programmeersessies. Maar voor het grootste deel hield hij zijn deur gesloten en op slot voor zijn ouders, terwijl hij dieper dook in een geheim leven waarvoor ze niet waren uitgenodigd.
Rond dezelfde tijd sloot het MSN-forum dat Hutchins frequent had bezocht, dus hij stapte over naar een andere community genaamd HackForums. De leden waren iets geavanceerder in hun vaardigheden en iets duisterder in hun ethiek: een verzameling jonge hackers in de stijl van Lord of the Flies, die elkaar wilden imponeren met nihilistische exploitatieprestaties. De minimale inzet om respect te krijgen van de HackForums-menigte was het bezit van een botnet, een verzameling van honderden of duizenden door malware geïnfecteerde computers die gehoorzamen aan de commando's van een hacker, in staat om junkverkeer naar rivalen te sturen om hun webserver te overspoelen en hen offline te halen - wat bekend staat als een distributed denial of service (DDoS) aanval.
Er was op dit punt geen overlap tussen Hutchins' idyllische Engelse dorpsleven en zijn geheime cyberpunk-leven, geen realiteitscheck om te voorkomen dat hij de amoraliteit van de onderwereld die hij betrad, overnam. Dus Hutchins, nog steeds 15 jaar...