В современном мире, вынужденном все больше внимания и средств уделять информационной безопасности, вопреки всем усилиям, специалисты так и не находят универсальной панацеи. Несмотря на все усилия по защите данных, периодически мы становимся свидетелями громких скандалов, связанных с масштабными утечками и взломами. Вероятно, справедливо утверждение о том, что не существует систем, которые было бы невозможно взломать, лишь те, которые пока недостаточно тщательно обследовали.
Недавно исследовательская группа российской компании Positive Technologies провела исследование более шестидесяти ресурсов, принадлежащих банкам, СМИ, телекомпаниям и производственным предприятиям. Результаты оказались неутешительными.
Более 62% ресурсов имеют серьезные уязвимости, которые могут позволить злоумышленниками получить несанкционированный доступ к информации. Причем среди сайтов средств массовой информации этот показатель достигает 80%.
Владельцы крупных компаний стараются не быть слишком самоуверенными, а потому уже давно предпочитают прибегать к помощи тех самых потенциальных взломщиков, которых им следовало бы опасаться. Общепринятая современная практика – плата за обнаружение уязвимостей. Как отмечают специалисты по безопасности, компаниям куда проще раскошелиться на несколько сотен или даже тысяч долларов сейчас, чем иметь дело с последствиями взлома и хищения данных пользователей.
Так, недавно Twitter объявил о создании программы «HackerOne», которая предполагает выплаты от 140 долларов за обнаружение слабых мест в соцсети. Эта сумма – нижний рубеж, она может быть повышена в зависимости от того, насколько серьезной и опасной окажется обнаруженная уязвимость.
Аналогичная программа есть и у американской мобильной платежной системы Square. В данном случае разработчики предлагают хакерам за информацию о слабых местах защиты, как минимум, 250 долларов.
В прошлом году очень щедрую награду за взлом и информацию о нем обещала Microsoft. Так, за обнаружение уязвимостей в Internet Explorer 11 компания обещала от 500 долларов до 11 тысяч долларов, а также кругленькую сумму в 100 тысяч долларов за обнаружение критической «дыры» в Windows 8.1. Также талантливый взломщик мог бы получить 50 тысяч сверху, если бы сразу же предложил, как эту брешь залатать.
Представители социальной сети Facebook сообщали, что выплатили хакерам за информацию об уязвимостях в сумме около миллиона долларов. А вот компания Yahoo! Прошлой осенью успела оскандалиться, поскольку предложила пользователям, сообщившим ей о проблемных местах в безопасности, по целых 12,5 долларов.
Любопытно, что, в отличие от других западных интернет-гигантов, Apple до сих пор не прибегала к услугам сторонних хакеров. Однако, учитывая недавний скандал с кражей интимных фотографий знаменитостей, источники внутри компании не исключают создания подобной программы в скором будущем.
Крупные российские интернет-компании также платят за информацию об уязвимостях. Яндекс в рамках программы «Охота за ошибками» готов отдавать от 5 до 100 тысяч рублей. Mail.Ru Group проводит конкурсы по вылавливанию «дыр», а Павел Дуров, бывший хозяин «Вконтакте», однажды выплатил двоим хакерам по пять тысяч долларов за сообщение о серьезной ошибке.
В нашей стране довольно щедрое предложение делает ПриватБанк. Программа «Слабое место», запущенная в 2011 году, предполагает выплаты от тысячи долларов за обнаруженную уязвимость.
Мнение специалистов о таких программах неоднозначно. Безусловно, они помогают заблаговременно обнаруживать и устранять слабые места, однако многие полагают вознаграждение недостаточным. К примеру, в 2012 году компания Google заплатила хакеру за информацию о серьезной ошибке всего тысячу долларов. При этом обнаруженная дыра позволяла получить доступ к очень многим сервисам компании и, при желании, серьезно навредить ей. Как отмечают специалисты, стоимость информации об этой уязвимости на черном рынке была бы в сотни раз выше. Что ж, зато – законно...
