Bug bounty

Bug bounty to program nagród, w ramach którego organizacja płaci niezależnym badaczom bezpieczeństwa (etycznym hakerom) za odpowiedzialne zgłaszanie luk znalezionych w jej aplikacjach, infrastrukturze lub urządzeniach. Idea jest prosta: lepiej zapłacić za podatność życzliwemu znalazcy, niż pozwolić, by odkrył ją i wykorzystał przestępca. Pierwsze programy uruchomiła Netscape w latach 90., a dziś prowadzą je zarówno giganci (Google, Microsoft, Meta), jak i średnie firmy — samodzielnie lub przez platformy typu HackerOne, Bugcrowd czy Intigriti.

Jak działa program bug bounty

Firma publikuje politykę programu, która określa:

• zakres (scope) — domeny, aplikacje i systemy, które wolno testować, oraz wyłączenia,
• zasady gry — zakaz eksfiltracji danych, socjotechniki czy ataków DoS, wymóg poufności do czasu naprawy,
• tabelę nagród — stawki zależne od krytyczności, zwykle wg skali CVSS; od kilkuset złotych za drobne błędy po setki tysięcy dolarów za krytyczne luki (np. RCE) u największych,
• proces zgłoszenia — raport z krokami reprodukcji i dowodem (proof of concept).

Zgłoszenie przechodzi triage (weryfikację i deduplikację — płaci się tylko pierwszemu znalazcy), następnie zespół naprawia lukę, a badacz otrzymuje nagrodę i często publiczne podziękowanie. Programy bywają publiczne (otwarte dla każdego) lub prywatne (na zaproszenie). Łagodniejszą formą jest polityka responsible disclosure / VDP — kanał zgłaszania luk bez gwarantowanych wypłat, sygnalizowany m.in. plikiem security.txt.

Zastosowanie w praktyce

Bug bounty uzupełnia — a nie zastępuje — testy penetracyjne i wewnętrzne SDLC: pentest daje systematyczne pokrycie w ustalonym czasie, a bounty ciągłą presję tysięcy par oczu o różnych specjalizacjach. Najczęściej zgłaszane klasy podatności pokrywają się z listą OWASP Top 10: XSS, błędy kontroli dostępu (IDOR), SQL injection czy SSRF.

Dla firmy warunkiem sensowności programu jest dojrzałość: sprawny proces triage'u, realny budżet na nagrody i zdolność szybkiego łatania. Dla badaczy bug bounty stało się ścieżką kariery — najlepsi łowcy utrzymują się wyłącznie z nagród, a platformy publikują rankingi i statystyki wypłat.