С момента запуска государственной программы Bug Bounty для мессенджера Max прошло меньше года, а результаты уже впечатляют: специалисты по кибербезопасности обнаружили более двухсот критических недочетов в защите приложения. Об этом 11 апреля на выставке «Связь-2026» рассказал технический директор Positive Technologies Алексей Батюк.
Охота на ошибки: цифры и вознаграждения
Программа поиска уязвимостей стартовала 1 июля 2025 года. Её цель — стимулировать ИБ-специалистов («белых хакеров») тщательно «прощупывать» защиту национального сервиса, предлагая солидные денежные призы за каждую найденную проблему. Судя по статистике, механизм сработал эффективно.
Согласно данным платформы Bug Bounty Standoff365 (входит в экосистему Positive Technologies), на 10 апреля 2026 года общая картина выглядит так:
- Всего подано заявок: 454 отчета.
- Подтверждено и принято: 288 отчетов (т.е. более 63% находок оказались реальными уязвимостями).
- Общая выплата: Почти 22 миллиона рублей.
- Средний чек за одну уязвимость: 349 000 рублей.
- Динамика: Только за последние три месяца исследователи получили 9,5 млн рублей.
Кроме того, мессенджер представлен на двух других публичных площадках — «Киберполигон» и Bi.zone, где суммарные выплаты «белым» хакерам составили еще около 1,5 млн рублей.
Самая популярная «дыра»: что такое IDOR
Один из участников программы раскрыл детали: чаще всего специалисты находят уязвимости класса IDOR (Insecure Direct Object Reference). На русском это звучит как «небезопасная прямая ссылка на объект».
- В чем суть: Это ошибка в логике работы приложения, когда сервер слепо доверяет тому, что ему присылает пользователь (например, номер чата или ID сообщения), и не проверяет должным образом права доступа.
- Чем грозит: Подставив нужный идентификатор в запрос к серверу, злоумышленник теоретически может «выдернуть» чужие переписки или данные, не имея на то прав.
Реакция разработчиков: «Это не сенсация, а стандарт»
В Центре безопасности Max заверили, что каждый найденный баг проходит строжайшую проверку, а исправления вносятся в первую очередь. Подчеркивается, что к исследованию привлекались лучшие международные эксперты, например, на конференции Zero Nights 2025, где ради привлечения кадров даже поднимали размер вознаграждения.
Пресс-служба мессенджера выступила с отдельным заявлением, фактически дав отпор скептикам:
«Программа Bug Bounty — это мировой стандарт индустрии и маркер зрелой безопасности. Независимые этичные хакеры за вознаграждение помогают закрывать риски ДО того, как их найдут злоумышленники. Пытаться подать сам факт находок в рамках такой программы как сенсацию или как доказательство небезопасности — это искажать суть. Такие программы как раз и созданы для контролируемого поиска и мгновенного устранения рисков».
Все данные пользователей, заверили в компании, находятся под надежной защитой, а активное участие «белых» хакеров лишь укрепляет эту защиту.
