NASK rzuca rękawicę. Milion złotych za znalezienie podatności - NASK – Państwowy Instytut Badawczy

Polska jako jedno z pierwszych państw na świecie uruchomiła własną platformę Bug Bounty dla serwisów publicznych, z pulą nagród w wysokości miliona złotych. Za jedną potwierdzoną podatność badacz może otrzymać nawet 20 tysięcy złotych. Na start platforma obejmuje portal www.gov.pl oraz systemy NASK, CERT Polska i gminy Władysławowo oraz komunikator mSzyfr.

Rosnące zagrożenia

Od stycznia do września 2026 roku na świecie wykryto przeszło 105 tysięcy nowych podatności – więcej niż w całym 2025 roku, gdy odnotowano ich blisko 71 tysięcy. Z kolei liczba podatności obsłużonych przez działający w NASK zespół CERT Polska wzrosła w ciągu trzech lat o ponad 300%.

Coraz bardziej zaawansowane narzędzia, w tym sztuczna inteligencja, przyspieszają wyszukiwanie i wykorzystywanie luk. Obrońcy muszą działać szybciej niż przestępcy – znaleźć słaby punkt i wskazać go, zanim posłuży do ataku.

Państwowa inicjatywa

NASK uruchamia państwową platformę Bug Bounty, zapraszając badaczy do szukania słabych punktów publicznych serwisów. Eksperci CERT Polska zmierzą się z każdą znalezioną luką. – W ciągu trzech lat liczba podatności obsłużonych przez CERT Polska wzrosła o ponad 300 procent. Powiedzieć, że to duży wzrost, to nic nie powiedzieć. To pokazuje skalę wyzwań, z którymi mierzymy się każdego dnia – podkreślał Krzysztof Gawkowski, wicepremier i minister cyfryzacji.

Jak działa program

Idea Bug Bounty jest prosta: instytucja zaprasza badaczy do testowania wskazanych systemów na określonych zasadach, a za wykryte i potwierdzone podatności wypłaca nagrody. Dzięki temu można usunąć słabe punkty, zanim wykorzystają je cyberprzestępcy.

– Nie ma systemów, które są w 100% bezpieczne. Każdy system ma podatności. Zapraszamy etycznych hakerów, żeby pomogli nam je znaleźć także w systemach rządowych – podkreślał Radosław Nielek, dyrektor NASK.

To, co wyróżnia polski program, jest stworzona przez NASK własna platforma. Jej obsługa nie trafia do zewnętrznych serwisów. Dzięki temu informacje o podatnościach pozostają w zamkniętym obiegu, pod kontrolą zespołów odpowiedzialnych za ich weryfikację i usunięcie.

Warunki udziału

Zgłoszenia przyjmuje platforma hack.cert.pl. Udział w programie mogą wziąć osoby pełnoletnie, które mają numer PESEL, polską rezydencję podatkową oraz wskażą polski rachunek bankowy do wypłaty nagrody. Program jest otwarty również na kolejne instytucje, które chcą poddać swoje systemy kontrolowanym testom bezpieczeństwa.

– Chcemy wokół tej platformy budować społeczność badaczy bezpieczeństwa, aby jeszcze lepiej chronić systemy państwowe – podkreślał Marcin Dudek, szef CERT Polska. – To jest, według mojej wiedzy, pierwsza taka sytuacja, gdzie rząd stworzył własną platformę do tego typu wyzwania.