В 2024 году белые хакеры обнаружили более 6 тыс. уязвимостей в различных системах российских компаний и госучреждений. 1926 уязвимостей обнаружили через платформу Standoff Bug Bounty (Positive Technologies), ещё 4451 отчёт о найденных уязвимостях опубликовали на платформе BI.Zone Bug Bounty. Об этом «Ведомостям» рассказали представители обеих компаний.
Госсектор стал рекордсменом по числу отчётов о критически опасных уязвимостях, следует из данных Positive Technologies: критической была каждая пятая уязвимость, выявленная в госсистемах.
В Минцифры уточнили, что в рамках второго этапа bug bounty с ноября 2023 года по ноябрь 2024-го багхантеры обнаружили около 280 уязвимостей в 10 госсистемах, рассказал «Ведомостям» представитель министерства. При этом большая часть из них — средней и низкой степени критичности, подчеркнул собеседник. За найденные в госсистемах уязвимости специалисты получили выплаты почти на 12,7 млн рублей.
«У специалистов не было доступа к внутренним данным систем, они проверяли только внешний периметр, — уточнил представитель Минцифры. — При этом их работа контролировалась системами мониторинга, поэтому найденные уязвимости невозможно использовать для взлома».
Согласно отчёту Positive Technologies Standoff Bug Bounty, за период с ноября 2023 года по ноябрь 2024-го багхантеры выявили на 43% больше уязвимостей, чем в 2023 году. Сумма выплаченных вознаграждений исследователям за найденные в 2024 году уязвимости составила 88,1 млн рублей, а общая сумма выплат с момента запуска багбаунти‑площадки в мае 2022 года достигла 158 млн рублей.
На второй багбаунти‑платформе, от BI.Zone, за 2024 год собрали 4451 отчёт о найденных уязвимостях, значимая часть из них приходится на финтех и IT, рассказал директор департамента анализа защищенности и противодействия мошенничеству компании Евгений Волошин. Около 500 присланных отчётов имеют критичность уровня «высокая» и выше. За 2024 год сумма выплат независимым исследователям на платформе BI.Zone Bug Bounty составила 64 млн рублей. Самые крупные выплаты пришлись на IT и финсектор.
Согласно отчету Positive Technologies, чаще всего багхантеры обнаруживали в российских системах уязвимости, связанные с контролем доступа (42%). Чаще всего такие ошибки находили в программах компаний электронной коммерции и финансовых и онлайн‑сервисов. На втором месте по популярности оказались уязвимости, связанные с внедрением вредоносного кода (22%), за ними следуют архитектурные и логические ошибки (9%).
