Apple anunță o consolidare importantă a programului său de recompense pentru vulnerabilități, dublând sumele maxime, introducând noi categorii de cercetare și clarificând mecanica premiilor. De la lansarea inițială în 2020, când industria abia începuse să se concentreze pe programele bug bounty, firma a plătit 35 de milioane de dolari către 800 de cercetători în securitate, ajungând uneori să ofere până la 500.000 de dolari pentru un raport valid.
Elementul central este dublarea recompensei maxime pentru cea mai gravă categorie de vulnerabilitate: acum plata pentru o compromitere remote zero-click, adică fără nicio interacțiune din partea utilizatorului, ajunge la 2 milioane de dolari. Acest tip de atac amintește de campaniile spyware finanțate de actori mercenari, iar Apple precizează că, prin sistemul de bonusuri, de exemplu pentru ocoliri ale Lockdown Mode sau vulnerabilități găsite în versiuni beta, recompensa totală poate depăși 5 milioane de dolari.
În afară de acest plafon, schema actualizată include, cu sume majorate sau noi, următoarele categorii: atac remote cu o singură interacțiune (one-click), 1.000.000 USD; atac prin apropiere wireless, 1.000.000 USD; acces iCloud neautorizat la scară largă, 1.000.000 USD; lanț de exploatare WebKit care conduce la executare de cod arbitrar nesemnat, 1.000.000 USD; atac asupra unui dispozitiv blocat cu acces fizic, 500.000 USD; evadare din sandbox-ul unei aplicații, 500.000 USD; evadare one-click din WebKit sandbox, 300.000 USD; ocolire completă a Gatekeeper pe macOS fără interacțiune, 100.000 USD; și un premiu de stimulare de 1.000 USD pentru rapoarte valide, dar cu impact redus. Apple notează că până acum nu a primit rapoarte care să demonstreze ocolirea completă a Gatekeeper fără interacțiune sau un acces iCloud neautorizat la scară largă, astfel că aceste două provocări sunt deosebit de dificile pentru vânătorii de bug-uri.
Categoria „Wireless Proximity” beneficiază și ea de un avans semnificativ: a crescut de la 250.000 USD la 1.000.000 USD, iar Apple afirmă că nu a observat în practică vreun atac zero-click realizat exclusiv prin apropiere wireless. Această categorie se extinde acum și asupra cipurilor dezvoltate de Apple, precum modemurile C1 și C1X și cipul wireless N1, evidențiind că atenția este asupra lanțului hardware-software, nu doar asupra software-ului.
Pe lângă recompensele financiare, Apple pregătește pentru 2026 un program practic: va distribui o mie de iPhone 17 securizate către membri ai organizațiilor societății civile care sunt expuși unui risc mai mare de a fi ținta spyware-ului mercenar. Aceleași dispozitive vor fi utilizate în 2026 și în cadrul Security Research Device Program, la care cercetătorii în securitate se pot înscrie până pe 31 octombrie. Ideea este clară: oferă cercetătorilor instrumentele potrivite și, în teorie, vor descoperi problemele înainte ca adversarii să le exploateze.
Apple consideră că premiile mai mari ar putea încuraja dezvoltarea de lanțuri de atac sofisticate de către vânzători de spyware, în sensul că unii ar putea prefera să cumpere exploiturile de la cercetători. În paralel, compania continuă să implementeze măsuri avansate de protecție în iOS, precum Lockdown Mode și Memory Integrity Enforcement, care sporesc costul și complexitatea realizării atacurilor stealth.
Privind noile sume și măsuri, reies câteva teme cheie: Apple investește sume semnificative în securitate pentru a descuraja exploatarea tăcută a utilizatorilor, recunoscând totodată existența amenințărilor bine finanțate și sofisticate. Programul îmbină stimulente financiare substanțiale cu instrumente practice, dispozitive securizate și acces pentru cercetare, și cu mecanisme software menite să îngreuneze viața atacatorilor. Aceste măsuri nu elimină riscul, dar schimbă raportul cost-beneficiu pentru cei care dezvoltă spyware.
Programul Bug Bounty actualizat, sumele de până la 5 milioane USD prin bonusuri, distribuția a 1.000 de iPhone 17 securizate și extinderea categoriilor precum Wireless Proximity sunt semne concrete ale direcției strategice a Apple. Crezi că astfel de recompense foarte mari vor reduce numărul atacurilor reale asupra utilizatorilor sau vor transforma problema într-o piață mai opacă pentru cumpărătorii de exploit-uri?
Fii primul care comentează