В 2023 году компания «Яндекс» увеличит общую сумму выплат в программе «Охота за ошибками» в 2,5 раза. Компания выделит 100 млн рублей на вознаграждение исследователей, которые ищут уязвимости в ее продуктах и инфраструктуре.
«Охота за ошибками» — постоянная bug bounty программа «Яндекса» по премированию этичных хакеров, то есть тех, кто разбирается в компьютерной безопасности, находит уязвимости в продуктах IT-компаний и сообщает им об этом за награду. Участвовать в «Охоте за ошибками» могут пользователи в возрасте 14 лет и старше (лицам младше 18 лет потребуется письменное согласие родителей).
В 2023 году «Яндекс» уже выплатила баг-хантерам 35,5 млн рублей — большая часть наград пришлась на январский конкурс с десятикратным повышением выплат за находки в категориях Remote Code Execution и SQL-инъекции. Самые большие награды конкурса составили 12 млн, 7,5 млн и 3,7 млн рублей. Напомним, что размер вознаграждения зависит от критичности уязвимости, простоты ее использования и влияния на данные пользователей.
В прошлом году компания приняла решение навсегда увеличить вознаграждение за каждую найденную уязвимость в два раза — например, теперь за поиск SQL-инъекций максимальная награда составляет не 450 000, а 900 000 рублей.
В 2022 году общий размер выплат составил 39,7 млн рублей, а самые крупные награды составили 2 млн, 1,2 млн и 1 млн рублей.
В общей сложности за год в «Охоте за ошибками» поучаствовало 414 исследователей. Они прислали 905 отчетов, из них 288 были уникальными и соответствовали правилам программы. В остальных случаях были обнаружены уязвимости и ошибки, которые уже выявили другие исследователи или собственная команда безопасности.
Награды за баги получили 277 охотников, первыми приславшие уникальные отчеты. Самый активный участник bug bounty программы прислал 64 отчета и получил 43 выплаты.
Все найденные ошибки в итоге были исправлены.
