NASK rzuca rękawicę. Milion złotych za znalezienie podatności

Na początek kilka liczb: od stycznia do września 2026 roku na świecie wykryto przeszło 105 tysięcy nowych podatności – więcej niż w całym 2025 roku, gdy odnotowano ich blisko 71 tysięcy. Z kolei liczba podatności obsłużonych przez działający w NASK zespół CERT Polska wzrosła w ciągu trzech lat o ponad 300%.

Za tymi liczbami kryje się wyścig z czasem. Pytanie nie brzmi już „czy ktoś spróbuje zaatakować system”, ale „kiedy to nastąpi”. Coraz bardziej zaawansowane narzędzia, w tym sztuczna inteligencja, przyspieszają wyszukiwanie i wykorzystywanie luk. Obrońcy muszą działać szybciej niż przestępcy – znaleźć słaby punkt i wskazać go, zanim posłuży do ataku. Presja na szybkie łatanie luk jeszcze nigdy nie była tak duża.

Dlatego NASK uruchamia właśnie państwową platformę Bug Bounty. Zapraszamy badaczy do szukania słabych punktów publicznych serwisów, a eksperci CERT Polska zmierzą się z każdą znalezioną luką.

– W ciągu trzech lat liczba podatności obsłużonych przez CERT Polska wzrosła o ponad 300 procent. Powiedzieć, że to duży wzrost, to nic nie powiedzieć. To pokazuje skalę wyzwań, z którymi mierzymy się każdego dnia. Przeznaczamy na cyberbezpieczeństwo rekordowe środki, ale w obliczu rosnących zagrożeń to wciąż za mało. Dlatego uruchamiamy kolejne rozwiązania, które pozwolą nam skuteczniej chronić państwowe systemy i wyprzedzać cyberprzestępców – podkreślał Krzysztof Gawkowski, wicepremier i minister cyfryzacji.

Polska wersja Bug Bounty. W puli okrągły milion

Idea Bug Bounty jest prosta: instytucja zaprasza badaczy do testowania wskazanych systemów na określonych zasadach, a za wykryte i potwierdzone podatności wypłaca nagrody. Dzięki temu może usunąć słabe punkty, zanim wykorzystają je cyberprzestępcy. To rozwiązanie dobrze znane firmom prywatnym. Teraz sięga po nie polski sektor publiczny. Pula nagród wynosi milion złotych, a kwota za pojedyncze zgłoszenie może sięgnąć 20 tysięcy złotych.

– Nie ma systemów, które są w 100% bezpieczne. Każdy system ma podatności. Zapraszamy etycznych hakerów, żeby pomogli nam je znaleźć także w systemach rządowych. Ważne jest także to, że podmioty, które są na tej liście, są w stanie nie tylko dostać informacje o podatnościach, ale także skutecznie i sprawnie usuwać luki. Bo sama wiedza o podatności, jeśli nie łatamy jej szybko, jeszcze nie zwiększa naszego bezpieczeństwa – podkreślał Radosław Nielek, dyrektor NASK.

Na start polskie Bug Bounty obejmie portal gov.pl, systemy NASK, CERT Polska i Gminy Władysławowo oraz komunikator mSzyfr.

To, co wyróżnia polski program jest stworzona przez NASK własna platforma. Jej obsługa nie trafia do zewnętrznych serwisów. Dzięki temu informacje o podatnościach pozostają w zamkniętym obiegu, pod kontrolą zespołów odpowiedzialnych za ich weryfikację i usunięcie. Zewnętrzne firmy nie mają do nich dostępu. To dodatkowa ochrona wiedzy o słabych punktach systemów publicznych.

– O programie Bug Bounty dla instytucji publicznych w Polsce rozmawiało się od wielu lat, ale długo pozostawał on w sferze marzeń. To jest, według mojej wiedzy, pierwsza taka sytuacja, gdzie rząd stworzył własną platformę do tego typu wyzwania. Są rządowe programy Bug Bounty na świecie. Korzystają jednak z usług firm zewnętrznych. My chcemy mieć to w całości u siebie, na swojej infrastrukturze, gdzie w pełni kontrolujemy, co się dzieje i jesteśmy w stanie tym zarządzać – podkreślał Marcin Dudek, szef CERT Polska. – Chcemy wokół tej platformy budować społeczność badaczy bezpieczeństwa, aby jeszcze lepiej chronić systemy państwowe.

Kto może szukać luk i otrzymać nagrodę?

Zgłoszenia przyjmuje platforma hack.cert.pl. Udział w programie mogą wziąć osoby pełnoletnie, które mają numer PESEL, polską rezydencję podatkową oraz wskażą polski rachunek bankowy do wypłaty nagrody.

Program jest otwarty również na kolejne instytucje, które chcą poddać swoje systemy kontrolowanym testom bezpieczeństwa. Zasady udziału znajdują się na hack.cert.pl.