Państwowy bug bounty ruszył: do 20 tys. zł za lukę w gov.pl
NASK i CERT Polska uruchomiły platformę hack.cert.pl z pulą 1 mln zł na nagrody za zgłoszone podatności. Zgłoszenia obsługuje państwowy zespół na własnej infrastrukturze, bez zewnętrznego operatora.
We wtorek 3 listopada NASK i działający w jego strukturach zespół CERT Polska uruchomiły platformę hack.cert.pl (otwiera się w nowej karcie). To program bug bounty, czyli system nagród pieniężnych dla badaczy bezpieczeństwa za wykryte i potwierdzone luki w systemach. Pula na start wynosi 1 mln zł. Za pojedyncze zgłoszenie można dostać do 20 tys. zł, zależnie od wagi błędu.
Na początek program obejmuje portal gov.pl, systemy NASK i CERT Polska, serwisy Gminy Władysławowo oraz komunikator mSzyfr. Każdy z pięciu konkursów ma własny regulamin z zakresem testów, warunkami i stawkami. Testowanie innych systemów publicznych nie jest objęte zaproszeniem. Według dyrektora NASK Radosława Nielka, cytowanego przez „Rzeczpospolitą”, jeśli model się sprawdzi, program będzie stopniowo rozszerzany na kolejne jednostki administracji samorządowej i centralnej.
Nie ma systemów, które są w 100% bezpieczne. Każdy system ma podatności. Zapraszamy etycznych hakerów, żeby pomogli nam je znaleźć także w systemach rządowych.
Udział mogą wziąć osoby pełnoletnie z numerem PESEL, polską rezydencją podatkową i polskim kontem bankowym. Tożsamość potwierdza się przez rządową usługę Login.gov.pl. Jak wyjaśnia serwis Zaufana Trzecia Strona, formuła konkursu pozwala legalnie wypłacać nagrody osobom fizycznym, a seria błędnych zgłoszeń może skończyć się czasową blokadą konta.
Rządowe programy bug bounty działają w innych krajach, ale zwykle przez zewnętrznych operatorów. Departament Obrony USA uruchomił pierwszy taki program, „Hack the Pentagon”, w 2016 roku z firmą HackerOne. Szef CERT Polska Marcin Dudek podkreśla, że polska platforma działa w całości na państwowej infrastrukturze, a informacje o lukach nie trafiają do firm zewnętrznych. NASK uzasadnia start programu skalą problemu: od stycznia do września 2026 roku wykryto na świecie ponad 105 tys. nowych podatności, wobec blisko 71 tys. w całym 2025 roku. Liczba podatności obsługiwanych przez CERT Polska wzrosła w trzy lata o ponad 300 proc.
Mechanizm, który prywatne firmy stosują od lat, trafia teraz do polskiej administracji. Dla dostawców oprogramowania sektora publicznego oznacza to, że systemy włączone do programu będą sprawdzane przez niezależnych badaczy, a zgłoszenia trafią do CERT Polska.