VK выплатила порядка 240 млн руб. исследователям безопасности

VK обработала свыше 18 тыс. отчетов от багхантеров и выплатила более 236 млн руб. за 10 лет существования программы по поиску уязвимостей Bug Bounty. Об этом CNews сообщили представители VK.

VK — одна из первых компаний в России, которая начала платить внешним исследователям безопасности за найденные уязвимости. VK запустила собственную программу Bug Bounty на платформе HackerOne в апреле 2014 г. Первым проектом стала «Почта Mail.ru», позже добавились социальные сети «ВКонтакте» и ОК. За все время сотрудничества с HackerOne VK получила более 16 тыс. отчетов, что позволило значительно усилить защиту продуктов компании. Общий размер выплат превысил 185 млн руб., а максимальное вознаграждение за критическую уязвимость достигло 1,5 млн руб.

В 2022 г. VK разместила программу Bug Bounty на платформах Standoff365 и BI.ZONE Bug Bounty, в начале 2023 г. — на BugBounty.ru, таким образом став первой в России компанией, представленной на всех отечественных платформах. За время работы с российскими партнерами компания обработала свыше 2,5 тыс. отчетов и выплатила внешним исследователям безопасности более 52 млн руб. В 2023 г. суммарное вознаграждение превысило 39 млн руб., что в три раза больше, чем в 2022 г., а размер максимальной единовременной выплаты составил 2,4 млн руб. 

«VK с 2014 г. развивает сообщество багхантеров, которое помогает нам дополнительно тестировать безопасность наших продуктов. В этом году мы переосмыслили общепринятый в индустрии подход к выплатам: мы отказываемся от фиксированных максимальных сумм и внедряем механизм Bounty Pass, при котором применяется прогрессивная шкала вознаграждений с учетом персональных достижений багхантера. По случаю 10-летия VK Bug Bounty бюджет программы в 2024 г. превысит 200 млн руб.», — сказал вице-президент, директор по информационной безопасности VK Антон Карпов.

Bounty Pass — это уникальная программа VK, направленная на повышение вознаграждений исследователей и отказ от фиксированных сумм выплат. За ее основу взята концепция игровой индустрии Battle Pass. Персональные достижения багхантеров позволяют получать повышенные выплаты, открывать новые программы и участвовать в специальных мероприятиях VK.

Начиная с апреля 2024 г. VK также предоставляет исследователям безопасности возможность пожертвовать начисленное вознаграждение на благотворительность с помощью сервиса «VK Добро», выбрав любой фонд на сайте.