Совкомбанк запустил программу поиска уязвимостей на платформе BI.ZONE Bug Bounty. Независимые исследователи безопасности могут проверить более 40 ресурсов банка — веб-сервисы, мобильные приложения и другие системы. Размер вознаграждения зависит от критичности найденной ошибки.

Максимальная выплата — 120 тыс. рублей. Столько заплатят за удалённое выполнение кода, SQL-инъекции, внедрение внешних XML-сущностей и включение локальных и удалённых файлов. За подделку запросов на стороне сервера дают до 60 тыс., за межсайтовый скриптинг — до 20 тыс. По данным платформы, всего выплачено 477,5 тыс. рублей, средняя выплата — 25,1 тыс., приняты 19 отчётов из 70.

У Совкомбанка 10 млн активных розничных клиентов и 300 тыс. компаний. Программа дополнит существующие процессы защиты, заявили в банке. Финансовые организации остаются одним из самых активных сегментов рынка багбаунти: заплатить исследователю дешевле, чем устранять последствия утечки.

Правила жёсткие: запрещены DoS, социальная инженерия и тестирование на чужих аккаунтах. Трафик должен идти через выданный VPN с заголовком «X-Bug-Bounty», иначе его сочтут несанкционированной атакой.

Помимо Совкомбанка, программы багбаунти в России развивают и другие компании. HeadHunter на платформе Standoff Bug Bounty платит до 500 тыс. рублей за критические уязвимости, Timeweb за выход на управляющие узлы Kubernetes — до 1 млн, «Авито» за критические баги, включая ИИ-сервисы, — также до 1 млн. «Группа Астра» в большинстве программ платит до 100 тыс., а за уязвимости в Astra Linux — до 250 тыс., Точка Банк — до 450 тыс. Максимальная разовая выплата в истории Standoff Bug Bounty достигала почти 4 млн рублей, средняя за принятую уязвимость — около 58 тыс. В 2025 году российские организации выплатили багхантерам на BI.ZONE Bug Bounty 100 млн рублей за 2,5 тыс. принятых отчётов.