Neue Dokumente belegen, dass die NSA sogenannte Zero-Day-Exploits beim französischen Sicherheitsunternehmen VUPEN einkaufte. VUPEN ist eines von wenigen Unternehmen, die aktiv nach Sicherheitslücken suchen, Exploits für die gefundene Schwachstelle produzieren und diese Exploits dann weiterverkaufen – vor allem an Regierungen und Polizei. Nach eigenen Angaben verkauft VUPEN Exploits ausschließlich an Demokratien und „vertrauenswürdige Länder“. In der Hackerszene gibt es seit langem Diskussionen darüber, ob man Exploits überhaupt verkaufen sollte – so hatte VUPEN bei uns schon in der Vergangenheit für Schlagzeilen gesorgt. Die Informationen über den Vertrag zwischen NSA und VUPEN kamen dieses Mal nicht durch Snowden, sondern eine FOI Anfrage von MuckRock zustande.