Państwo zapłaci hakerom. Wystarczy znaleźć jeden błąd

CERT Polska, działający w strukturach NASK, uruchomił 3 listopada program Bug Bounty, który pozwala niezależnym specjalistom szukać luk w zabezpieczeniach wybranych serwisów publicznych. Na nagrody przeznaczono milion złotych, a za pojedynczą, wykrytą i potwierdzoną podatność można otrzymać do 20 tys. zł. Celem przedsięwzięcia jest wykrywanie błędów, zanim wykorzystają je cyberprzestępcy.

Pięć programów na początek. Testy tylko w wyznaczonym zakresie

Program opiera się na współpracy z etycznymi hakerami, czyli specjalistami, którzy sprawdzają zabezpieczenia za zgodą ich właścicieli i na określonych zasadach. Po znalezieniu podatności uczestnik zgłasza ją ekspertom CERT Polska. Zespół weryfikuje odkrycie, a następnie przekazuje informacje instytucji odpowiedzialnej za dany serwis.

Na początek uruchomiono pięć programów obejmujących między innymi portal GOV.PL, systemy NASK i CERT Polska, komunikator mSzyfr oraz serwisy internetowe gminy Władysławowo. To w zasobach wskazanych przez organizatorów uczestnicy mogą poszukiwać błędów.

Uruchomienie Bug Bounty nie oznacza zgody na dowolne testowanie wszystkich państwowych systemów. Działania muszą mieścić się w zakresie określonym przez organizatorów i być prowadzone zgodnie z regulaminem. Zgłoszenia przyjmowane są za pośrednictwem platformy hack.cert.pl.

Od kilkuset złotych do 20 tysięcy za potwierdzony błąd

Wysokość nagrody zależy od tego, jak poważna jest wykryta podatność. Wypłaty zaczynają się od kilkuset złotych, a w przypadku szczególnie niebezpiecznych luk mogą sięgnąć 20 tys. zł. Warunkiem jest potwierdzenie zgłoszonego błędu w procesie weryfikacji.

Obecnie w programie mogą uczestniczyć osoby pełnoletnie, które mają numer PESEL, rachunek bankowy w Polsce i płacą tutaj podatki. Organizatorzy zapowiadają, że w przyszłości chcą dopuścić również osoby w wieku 16–17 lat, pod warunkiem uzyskania zgody opiekuna prawnego.

Przedsięwzięcie ma formułę konkursową. Dzięki temu uczestnicy nie muszą samodzielnie rozliczać podatku dochodowego od otrzymanych nagród.

Rośnie liczba wykrywanych podatności

Według danych przekazanych przez NASK od stycznia do września 2026 roku na świecie wykryto ponad 105 tys. nowych podatności w systemach informatycznych. Dla porównania w całym 2025 roku było ich blisko 71 tys. W Polsce liczba podatności obsłużonych przez CERT Polska wzrosła w ciągu trzech lat o ponad 300 proc.

– Nie ma systemów, które są w 100 proc. bezpieczne – przyznał podczas prezentacji programu Radosław Nielek, dyrektor NASK.

Podkreślił przy tym, że samo wykrycie słabego punktu nie wystarczy. Równie istotne jest szybkie usunięcie błędu. Dlatego do udziału w programie zaproszono instytucje przygotowane do sprawnego reagowania na otrzymywane zgłoszenia.

Stawką jest bezpieczeństwo danych i usług publicznych

Z państwowych serwisów internetowych korzystają miliony obywateli, którzy załatwiają sprawy urzędowe, przekazują dokumenty i udostępniają dane osobowe. W określonych przypadkach luka w zabezpieczeniach może umożliwić przestępcom dostęp do poufnych informacji, manipulowanie danymi lub zakłócenie działania usług publicznych. Program ma pomóc wykrywać takie słabości, zanim zostaną wykorzystane do ataku.

Platforma obsługująca zgłoszenia została zbudowana przez CERT Polska i działa na krajowej infrastrukturze. Informacje o znalezionych podatnościach nie trafiają do zewnętrznych firm pośredniczących.

Bug Bounty pozostaje otwarty na kolejne instytucje publiczne. Jeśli program się sprawdzi, lista objętych nim serwisów państwowych i samorządowych może zostać rozszerzona. O jego skuteczności zdecydują nie tylko odkrycia specjalistów, ale również tempo usuwania potwierdzonych luk.