Dietro ogni bounty c’è un’occasione per fare la differenza. E guadagnarci pure bene (bug più pagati della storia)

Quando ho iniziato ad appassionarmi al mondo della cybersecurity, una delle cose che mi sembravano al limite del possibile era l’idea che si potesse davvero vivere – e bene – scovando vulnerabilità nei sistemi delle big tech. Pensavo fosse una leggenda urbana per ragazzini, o al massimo un hobby marginale per chi già lavorava nel settore. Poi ho iniziato a leggere, a scavare, a guardare i profili su HackerOne, a seguire i report pubblicati… e ho scoperto che no, non è affatto un mito. Qualcuno, in questo mondo, è diventato davvero milionario. E altri, anche senza arrivare a cifre così clamorose, hanno comunque fatto soldi veri. Soldi guadagnati con competenza, intuito, pazienza e una buona dose di creatività.

Il primo nome che salta fuori è Santiago Lopez, hacker etico argentino, il primo al mondo a superare il milione di dollari su HackerOne. Aveva 19 anni quando ha raggiunto quella cifra, segnalando bug per aziende come Verizon, Twitter, GitHub, Automattic. Le sue vulnerabilità preferite? Quelle logiche, di tipo IDOR (Insecure Direct Object Reference), che permettono a un utente non autorizzato di accedere a dati altrui solo modificando un parametro. Oggi ha superato i 2 milioni di dollari in bounty, e continua a lavorare con grandi aziende da freelance. Non ha una laurea, ha imparato tutto da autodidatta.

Un altro nome importante è Mark Litchfield, britannico, uno dei pionieri del settore. Ha superato il milione e mezzo di dollari segnalando vulnerabilità a Microsoft, Google, Yahoo, Uber. La sua forza sta nel trovare vulnerabilità ripetibili in grandi ecosistemi: injection classiche, bypass di autenticazione, privilege escalation. Uno di quei profili silenziosi che hanno letteralmente aiutato a plasmare le best practice di sicurezza moderne.

Poi c'è Nathaniel Wakelam, australiano, che per anni è stato nella top 10 dei bug hunter mondiali. Racconta di settimane in cui incassava anche 25.000 dollari di bounty, e ora ha avviato anche un'attività di consulenza. Uno che ha saputo monetizzare il talento in modo intelligente, con una visione imprenditoriale.

E ci sono anche casi come quello del ricercatore che nel 2021 ha ricevuto 2 milioni di dollari da Apple per una zero-click RCE su iPhone, capace di compromettere un dispositivo semplicemente ricevendo un messaggio. Apple ha confermato il pagamento nel contesto del suo programma "Security Bounty", ed è tuttora il premio più alto mai pagato pubblicamente da un vendor mainstream. La vulnerabilità sfruttava un'interazione complessa tra iMessage e il framework CoreGraphics, permettendo l’esecuzione di codice con privilegi kernel senza alcuna interazione da parte dell’utente. Una vera e propria arma digitale, disinnescata con il giusto premio.

Sempre in ambito mobile, Google ha pagato 1 milione di dollari per un exploit completo contro il chip Titan M dei Pixel. La catena includeva un exploit WebKit, un'escalation di privilegi tramite sandbox escape e infine un'esecuzione arbitraria persistente. Il bounty era parte dell’iniziativa “Project Zero Prize”.

E poi c’è Zerodium. Qui si entra in un territorio più grigio, ma comunque legittimo: il mercato legale di exploit, dove vengono acquistate vulnerabilità 0-day da fornire a governi, agenzie e aziende di intelligence. Zerodium ha pagato 2,5 milioni di dollari per un exploit completo su iOS 13: RCE via browser, no click, con persistence. Il nome del ricercatore non è stato reso pubblico, ma il bounty è stato confermato da Zerodium sul loro canale Twitter ufficiale.

Anche Microsoft ha fatto la sua parte: nel 2022 ha pagato 500.000 dollari a un ricercatore che ha trovato una combinazione di vulnerabilità su Azure Synapse che consentiva un’esecuzione remota di comandi con privilegi elevati, passando attraverso un misconfiguration del cluster Spark e sfruttando una catena di injection nei notebook Jupyter.

Meta (Facebook) ha storicamente pagato oltre 100.000 dollari per vulnerabilità che permettevano di prendere il controllo di qualsiasi account conoscendone solo l'ID. Una in particolare sfruttava un race condition durante il processo di reset della password, bypassando il sistema di verifica tramite codice.

Tesla invece ha preferito legare i bounty a eventi dal vivo. Al Pwn2Own 2020, un team ha compromesso l’infotainment di una Tesla Model 3 usando una deserialization flaw in JavaScriptCore, portandosi a casa 100.000 dollari e la macchina stessa come bonus.

Guardando questi numeri, la tentazione di pensare che chiunque possa farlo è forte. Ma è importante essere onesti: non basta sapere cos'è un XSS o come funziona Burp Suite. Serve metodo, dedizione, capacità di osservare un sistema come un puzzle in cui ogni pezzo può nascondere un errore logico, una distrazione, una porta dimenticata. E soprattutto, serve resilienza. I duplicati non pagati, i programmi che rispondono dopo mesi, i bounty simbolici per bug gravi... sono all’ordine del giorno.

Eppure, se si guarda al quadro d’insieme, il bug bounty oggi non è solo un’occasione per guadagnare. È uno strumento etico, una forma di hacking legittima e riconosciuta, un modo per rendere il web più sicuro. E se nel frattempo qualcuno riesce a guadagnarci anche bene, beh, tanto di cappello.