NASK przeznaczył milion zł na program, w ramach którego etyczni hakerzy i badacze mogą zgłaszać luki bezpieczeństwa w publicznych systemach - poinformował we wtorek wicepremier i minister cyfryzacji Krzysztof Gawkowski. Jednorazowo można wygrać 20 tys. zł.
- Chcemy, żeby społecznicy, etyczni hakerzy przeszukiwali nasze systemy państwowe, zwłaszcza w domenie gov.pl, żeby znaleźć miejsce, które będzie podatne, co może komplikować los instytucji i urzędów. (...) Cel jest prosty - szybkie usuwanie błędów, zanim wykorzystają je cyberprzestępcy - powiedział podczas konferencji prasowej wicepremier Gawkowski.
Chodzi o program tzw. bug bounty (nagród za wykryte błędy - PAP), uruchomiony na platformie stworzonej i obsługiwanej przez CERT Polska - hack.cert.pl. Przez tę stronę entuzjaści cyberbezpieczeństwa mogą zgłaszać znalezione podatności (luki bezpieczeństwa - PAP) w określonych systemach administracji publicznej. Po potwierdzeniu sukcesu przez CERT Polska i wprowadzeniu poprawek bezpieczeństwa, badacze mogą otrzymać nagrodę w wysokości od kilkuset złotych do maksymalnie 20 tys. zł, w zależności od poziomu krytyczności wykrytego błędu.
Jak tłumaczył szef CERT Polska Marcin Dudek, podatności to luki w oprogramowaniu, które atakujący mogą wykorzystać, by dostać się do zasobów instytucji i firm. W ciągu trzech lat liczba podatności obsłużonych przez CERT Polska wzrosła o ponad 300 proc. - zaznaczył. Dodał, że obecnie cyberprzestępcy coraz częściej wykorzystują sztuczną inteligencję, by automatycznie wyszukiwać luki i atakować przez nie podmioty.
- Pierwszy raz mówię to publicznie: mieliśmy do czynienia z takim atakiem, gdzie nasza analiza wykazała, że cały atak był prowadzony przez agentów AI, czyli całkowicie autonomicznie - przekazał Dudek.
Poinformował, że po zalogowaniu się na stronie hack.cert.pl przez Profil Zaufany badacze znajdą listę instytucji publicznych, w których można szukać luk, dozwolone metody testowania, a także zakres oraz zasady przyznawania nagród. Obecnie na platformie dostępnych jest pięć konkursów obejmujących: portal gov.pl, komunikator mSzyfr, serwisy gminy Władysławowo, CERT Polska i NASK.
Dudek powiedział, że zgłoszenia podatności może dokonać każda osoba, która ukończyła 18 lat, posiada numer PESEL oraz polską rezydencję podatkową.
Szef CERT Polska podkreślił, że inicjatywa ta, to jedno z pierwszych na świecie przedsięwzięć tego rodzaju, w którym obsługa programu bug bounty odbywa się na niezależnej, krajowej platformie, bez udziału komercyjnych pośredników.
Dyrektor w NASK - Państwowy Instytut Badawczy (PIB) Radosław Nielek wskazał natomiast, że milion złotych przeznaczonych na konkurs pochodzi z budżetu NASK.
- Obecnie program bug bounty jest testowany w mniejszej skali podmiotów publicznych. Jeśli ten model się sprawdzi, inicjatywa będzie stopniowo rozszerzana na kolejne jednostki administracji samorządowej i centralnej - przekazał Nielek. Instytucje, które chcą poddać swoje systemy kontrolowanym testom bezpieczeństwa mogą sprawdzić zasady udziału w programie na hack.cert.pl.
Bug bounty to inicjatywa organizowana przez firmy i instytucje na całym świecie, w ramach której oferują one nagrody finansowe lub rzeczowe zewnętrznym badaczom bezpieczeństwa za znalezienie i odpowiedzialne zgłoszenie luk w zabezpieczeniach ich systemów, aplikacji czy stron.
W 2025 r. CERT Polska odnotował 1 tys. 732 incydenty związane z lukami bezpieczeństwa w publicznie dostępnych usługach i systemach teleinformatycznych. Jak podała jednostka, od stycznia do września 2026 roku na świecie wykryto ok. 105 tys. nowych podatności. To więcej niż w całym 2025 roku, gdy odnotowano ich blisko 71 tysięcy.
CERT Polska to działający w instytucie badawczym NASK zespół reagowania na incydenty w sieci i przyjmujący zgłoszenia o podejrzanych i nietypowych zdarzeniach. (PAP)
mbl/ mmu/
