Zatko fue un miembro destacado de los colectivos de hackers L0pht y Cult of the Dead Cow. Durante su etapa en L0pht, contribuyó a la divulgación y educación sobre vulnerabilidades de seguridad e información. En 1995, cuando tenía 25 años, fue uno de los primeros en difundir la vulnerabilidad conocida como desbordamiento de búfer. También fue uno de los autores iniciales del software de descifrado de contraseñas L0phtCrack.[1]
Junto con otros seis miembros de L0pht, Zatko compareció ante un comité del Senado estadounidense para alertar de los riesgos de los ataque de denegación de servicio (DoS) y otras vulnerabilidades de internet.[1]
En 1999, L0pht se transformó en una empresa consultora de ciberseguridad, en la cual Zatko ocupó el puesto de vicepresidente de I+D. Posteriormente trabajó tres años en la Agencia de Proyectos de Investigación Avanzados de Defensa (DARPA), dependiente del Pentágono.[1]
En 2013 fue contratado por Google para formar parte de Google ATAP, el grupo de proyectos y tecnología avanzada de Google, y posteriormente trabajó para la compañía tecnológica de gestión de pagos Stripe.[1]
En noviembre de 2020 fue contratado por Jack Dorsey para hacerse cargo de la ciberseguridad de la red social Twitter. Dorsey dimitió como CEO un año más tarde y fue reemplazado por Parag Agrawal, quien dos meses después, en enero de 2022, despidió a Zatko alegando desempeño deficiente e ineficaz. Sin embargo, Zatko afirma que el despido fue una represalia por documentar diversos fallos y violaciones de seguridad de la empresa, tras haber intentado sin éxito convencer a sus directivos para solucionar esos problemas.[1][2][3][4]
En julio de ese mismo año, basándose en esa información previamente recopilada, Zatko denunció la falta de seguridad en Twitter ante dos agencias reguladoras estadounidenses, la Comisión Federal de Comercio y la Comisión de Bolsa y Valores, amparado por la Whistleblower Protection Act, la normativa federal que protege al personal de las empresas privadas o de la administración pública que denuncia hechos que pueden constituir delitos federales. También ha contado en su denuncia con el respaldo de la entidad sin ánimo de lucro Whistleblower Aid, la misma que apoyó a la ex-directiva de Facebook Frances Haugen en 2021.[1][2][3][4]
