Гонорары для этичных хакеров выросли до 3 млн рублей

Как пояснили в Яндексе, размер выплаты зависит от типа найденной ошибки. Самое высокое вознаграждение в Почте и Яндекс ID, 3 миллиона рублей, полагается за уязвимости типа RCE - Remote Code Execution, или удалённое выполнение кода. Они позволяют злоумышленнику запустить в системе вредоносный код. Увеличились и выплаты за другие типы уязвимостей, например SQL-инъекции. Яндекс отдаст приоритет всем присланным критическим ошибкам и оперативно их исправит.

Для Yandex Cloud увеличены выплаты до 3 млн рублей за уязвимости, специфичные для облачных сервисов, такие как Virtual Machine escape - атаки на виртуализацию. Их цель - найти возможность выйти из виртуальной машины - изолированной среды, имитирующей компьютер, - и получить доступ к операционной системе физического сервера в дата-центре, а также к другим виртуальным машинам на этом сервере.

Безопасность Почты, Яндекс ID и виртуальных машин Yandex Cloud критически важна, поэтому Яндекс уделяет особое внимание их защите. Так, Яндекс ID проверяет подлинность пользователя и даёт доступ в экосистему Яндекса и к другим ресурсам. Пользователи доверяют Яндекс ID чувствительную информацию: контакты, адреса, документы и не только. В Почту приходят письма для сброса паролей, также к ней привязывают аккаунты в соцсетях, банках и других сервисах. А виртуальные машины в Yandex Cloud хранят и обрабатывают чувствительные данные клиентов и обеспечивают изоляцию клиентов друг от друга.

Увеличение вознаграждения - способ привлечь к проверке высокопрофессиональных независимых экспертов и ещё раз убедиться в том, что сервисы надёжны и устойчивы к атакам. Посмотреть, какие сервисы Яндекса участвуют в "Охоте за ошибками" и какие вознаграждения предусмотрены за разные типы ошибок, можно на сайте.

Этичные или "белые" хакеры - это один из самых эффективных способов борьбы с уязвимостями. Действуя независимо от компании, пусть и с ее ведома, такие специалисты способны находить самые неочевидные способы проникновения в защищенный периметр и нанесения ущерба инфраструктуре и данным компании. Деятельность "белых" хакеров в России сегодня в полной мере не легализована.