Państwo zapłaci hakerom. Wystarczy znaleźć jeden błąd

Jeszcze niedawno próba znalezienia słabego punktu w rządowym systemie informatycznym mogła wzbudzić zainteresowanie służb. Teraz państwo samo zaprasza hakerów do sprawdzania zabezpieczeń swoich serwisów. I jest gotowe za to zapłacić. Nawet 20 tys. zł za jedną wykrytą i potwierdzoną lukę. 

Na nagrody przygotowano łącznie milion złotych.

Program Bug Bounty, uruchomiony 3 listopada przez CERT Polska działający w strukturach NASK, ma pomóc w wykrywaniu niebezpiecznych błędów, zanim wykorzystają je cyberprzestępcy.

Hakerzy dostali zielone światło. Mogą sprawdzać rządowe serwisy

Zasada jest prosta. Specjaliści od cyberbezpieczeństwa, nazywani etycznymi hakerami, mogą legalnie testować wybrane państwowe systemy. Jeśli znajdą lukę, zgłaszają ją ekspertom CERT Polska. Ci weryfikują odkrycie i przekazują informacje instytucji odpowiedzialnej za dany serwis.

Na początek udostępniono pięć programów. Obejmują one między innymi rządowy portal GOV.PL, systemy NASK i CERT Polska, komunikator mSzyfr oraz serwisy internetowe gminy Władysławowo.

Nie oznacza to jednak zgody na dowolne włamywanie się do urzędowych systemów. Testować można wyłącznie zasoby wskazane przez organizatorów i tylko zgodnie z regulaminem.

Nawet 20 tys. zł za jedną lukę. Kto może zarobić?

Nagrody zaczynają się od kilkuset złotych, ale za wykrycie szczególnie niebezpiecznej podatności można otrzymać nawet 20 tys. zł. Wysokość wypłaty zależy od tego, jak poważny jest znaleziony błąd.

W programie mogą uczestniczyć osoby, które ukończyły 18 lat, mają numer PESEL, rachunek bankowy w Polsce i płacą tutaj podatki.

W przyszłości organizatorzy zamierzają dopuścić również młodszych pasjonatów informatyki, w wieku 16-17 lat, ale pod warunkiem uzyskania zgody opiekuna prawnego.

Zgłoszenia przyjmowane są przez specjalną platformę hack.cert.pl. Program ma formułę konkursową, dzięki czemu uczestnicy nie muszą samodzielnie rozliczać podatku dochodowego od otrzymanych nagród.

Cyberzagrożeń przybywa w zastraszającym tempie

Powód uruchomienia programu jest poważny. Jak informuje NASK, od stycznia do września 2026 roku na świecie wykryto ponad 105 tys. nowych podatności w systemach informatycznych. Tymczasem w całym 2025 roku było ich blisko 71 tys.

W Polsce liczba podatności obsłużonych przez CERT Polska wzrosła w ciągu trzech lat o ponad 300 proc.

– Nie ma systemów, które są w 100 proc. bezpieczne – przyznał podczas prezentacji programu Radosław Nielek, dyrektor NASK.

Podkreślił, że samo znalezienie słabego punktu nie wystarczy. Równie ważne jest jego szybkie usunięcie. Dlatego do programu zaproszono instytucje przygotowane do sprawnego reagowania na zgłoszenia.

Chodzi o bezpieczeństwo danych milionów Polaków

Stawka jest znacznie większa niż pieniądze wypłacane hakerom. Z państwowych serwisów internetowych korzystają miliony obywateli. Załatwiają sprawy urzędowe, przekazują dokumenty i udostępniają dane osobowe.

Niebezpieczna luka może w określonych przypadkach umożliwić przestępcom dostęp do poufnych informacji, manipulowanie danymi albo zakłócenie działania usług publicznych.

Dlatego państwo chce wykorzystać wiedzę niezależnych specjalistów, zanim zrobią to cyberprzestępcy.

Polska platforma ma jeszcze jedną istotną cechę. Została zbudowana przez CERT Polska i działa na krajowej infrastrukturze. Informacje o wykrytych podatnościach nie trafiają do zewnętrznych firm pośredniczących.

Program jest otwarty na kolejne instytucje publiczne. Jeśli się sprawdzi, lista państwowych i samorządowych serwisów, w których hakerzy będą mogli legalnie szukać błędów, może się wydłużyć.