В погоне за багами: на кого охотились и как зарабатывали белые хакеры

В мае 2022 года мы запустили собственную платформу для поиска уязвимостей за вознаграждение — Standoff Bug Bounty. С тех пор она стала крупнейшей российской площадкой багбаунти: более 18 тысяч независимых исследователей безопасности из России и других стран сдали на ней свыше 8 тысяч отчетов. Привлекая на помощь целый легион опытных багхантеров, платформа помогает компаниям усилить защищенность ИТ-инфраструктуры. Читайте в этой статье о результатах 2,5 лет работы Standoff Bug Bounty. Объясним, почему багбаунти-платформа повышает киберустойчивость компаний, какие баги чаще всего находят специалисты ИБ, как они зарабатывают и какие выплаты получают. Расскажем также о максимальных наградах и уникальных программах на платформе.

Почему багбаунти?

За последние пять лет эксплуатация уязвимостей ПО, аппаратного обеспечения и веб-приложений входит в топ-3 самых популярных методов атак на организации. В III квартале 2024 года хакеры использовали этот подход в трети успешных атак. При этом средняя стоимость утечки, начальным вектором которой была эксплуатация уязвимости, по данным IBM, достигла в прошлом году 4,33 млн $. В таких условиях компании смогут значительно снизить вероятность успешных атак, уменьшить потенциальный материальный и репутационный ущерб, если будут своевременно выявлять и устранять уязвимости, запуская программы багбаунти.

Платформы багбаунти, такие как Standoff Bug Bounty, помогают компаниям привлекать для поиска слабых мест в их ИТ-инфраструктуре тысячи специалистов по безопасности с разными навыками и опытом. Платформа позволяет компаниям платить только за найденные и подтвержденные уязвимости, обеспечивая простое и конфиденциальное взаимодействие. Она берет на себя всю организационную работу, в том числе перевод вознаграждений, и гарантирует соблюдение принципов ответственного раскрытия информации об уязвимостях.

На платформе белые хакеры могут легально и без риска заниматься тем, что им действительно нравится — находить уязвимости в популярных сервисах — и неплохо зарабатывать. На ноябрь 2024 года багхантеры отправили на платформу 1926 принятых и уникальных отчетов, что на 43 процентных пункта (п. п.) больше, чем за весь 2023 год.

Всего багхантеры сдали 4658 отчетов. 

Standoff Bug Bounty за 2,5 года существования выплатила белым хакерам более 158 млн рублей. Сумма вознаграждения может зависеть от серьезности проблемы, вероятности использования злоумышленниками, окружения и других факторов. Средняя выплата за принятый отчет в 2024 году составила почти 58 тыс. рублей — на 13% больше показателя за предыдущий год.

Благодаря широкому спектру программ багхантеры имеют возможность сосредоточиться на тех секторах, которые больше всего соответствуют их навыкам. Участвуя в багбаунти, исследователи соревнуются друг с другом, демонстрируют и совершенствуют свои скилы, укрепляют защиту цифровых услуг и делают мир вокруг безопаснее.

Кто такие охотники за багами и что ими движет

Всего за год с ноября 2023 года число зарегистрированных на платформе исследователей ИБ выросло почти в 2,5 раза — с 7537 до 18 400. Такой интерес к ней можно объяснить постоянным ростом количества программ багбаунти и их разнообразием. Кроме того, белые хакеры ценят Standoff Bug Bounty за справедливую и быструю верификацию отчетов. По результатам опроса, 58% багхантеров назвали площадку лучшей по оперативности и профессиональности триажа уязвимостей.