$2 млн за баг: Apple подвоїла винагороду за знайдені вразливості

Apple оновлює свою програму Security Bounty — і це гарна новина для фахівців із безпеки. Тепер вони можуть розраховувати на винагороду до $2 мільйонів, а в окремих випадках — аж до $5 мільйонів. Нові правила починають діяти з листопада 2025 року, повідомляє Engadget.

• Винагорода у $2 млн передбачена за виявлення ланцюжків експлойтів, що досягають ефекту без жодної взаємодії з користувачем, як складні атаки шпигунського ПЗ.
• Максимальна виплата у $5 млн можлива, наприклад, за уразливості в бета-версіях ПЗ або за обхід Lockdown Mode — розширеного захисного режиму в Safari.

Що ще змінилося у винагородах?

• до $1 млн — за експлойти, що вимагають лише одного кліку користувача (раніше — $250 тис.);
• до $1 млн — за атаки з фізичною близькістю до пристрою (раніше — $250 тис.);
• до $500 тис. — за атаки з фізичним доступом до заблокованого пристрою (раніше — $250 тис.);
• до $300 тис. — за вихід із пісочниці через ланцюжок виконання коду WebContent.

За словами віцепрезидента Apple з питань безпеки та архітектури Івана Крстіча, з моменту запуску програми у 2020 році компанія виплатила понад $35 мільйонів понад 800 дослідникам. Хоча великі суми трапляються рідко, Apple вже кілька разів здійснювала виплати по $500 тисяч.

У компанії зазначають, що на системному рівні атаки на iOS у реальних умовах здійснювалися лише шпигунським ПЗ, пов’язаним із державними структурами. Нові функції безпеки — зокрема Lockdown Mode та Memory Integrity Enforcement — мають ускладнити подібні атаки.

Чому це важливо для DevOps, DevSecOps і Security-спеціалістів?

• Попит на глибоку експертизу в безпеці зростає — навіть гіганти з власними R&D-команами охоче залучають незалежних фахівців.
• Bug Bounty — це реальний спосіб монетизувати свої експертні навички, навіть якщо ви не працюєте в самій компанії.
• Інші компанії також мають подібні програми або цінують досвід участі в них під час рекрутингу.

Замість висновків

Хочете знайти вакансії з фокусом на безпеку? Перевірте актуальні пропозиції на нашій платформі або розмістіть профіль, щоб рекрутери знайшли вас першими.

Статті до теми для початківців:

• Як почати кар’єру DevSecOps-інженера?
• Security Specialist: гайд по професії

Христина Донченко