NASK oferuje milion złotych za znalezienie podatności w państwowych systemach

NASK uruchomił własną platformę Bug Bounty i zaprasza badaczy bezpieczeństwa do szukania luk w serwisach publicznych, w tym na portalu gov.pl. Za jedno potwierdzone zgłoszenie można zarobić nawet 20 tysięcy złotych, a cała pula nagród sięga miliona.

Od stycznia do września 2026 roku na świecie wykryto ponad 105 tysięcy nowych podatności, czyli więcej niż w całym poprzednim roku, gdy było ich blisko 71 tysięcy. W Polsce zespół CERT Polska, działający w ramach NASK, odnotował wzrost liczby obsługiwanych podatności o ponad 300% w ciągu trzech lat. Pytanie nie brzmi więc już „czy”, tylko „kiedy” dojdzie do ataku. A skoro AI coraz lepiej pomaga przestępcom namierzać słabe punkty, obrońcom pozostaje tylko być szybszymi i znaleźć lukę jako pierwsi.

Nowa platforma Bug Bounty ma być odpowiedzią na tę presję. Mechanizm jej działania nie jest nowością, prywatne firmy stosują go od lat, płacąc badaczom za wykryte i potwierdzone błędy w zabezpieczeniach. Teraz po to rozwiązanie sięga polski sektor publiczny, uruchamiając własny program z pulą nagród w wysokości miliona złotych. Na start obejmie on portal gov.pl, systemy NASK i CERT Polska, Gminę Władysławowo oraz komunikator mSzyfr.

„Nie ma systemów, które są w 100% bezpieczne. Każdy system ma podatności. Zapraszamy etycznych hakerów, żeby pomogli nam je znaleźć także w systemach rządowych” – powiedział Radosław Nielek, dyrektor NASK, zaznaczając, że samo wykrycie luki niewiele daje, jeśli instytucja nie potrafi jej szybko załatać. Dlatego do programu trafiły tylko te podmioty, które są w stanie sprawnie reagować na zgłoszenia.

Własna infrastruktura, pełna kontrola

Polski projekt różni się od podobnych inicjatyw na świecie tym, że cała platforma powstała od podstaw w NASK, bez udziału firm zewnętrznych. Tym samym informacje o znalezionych podatnościach nie wypłyną poza zamknięty obieg kontrolowany przez zespoły odpowiedzialne za ich weryfikację.

„Są rządowe programy Bug Bounty na świecie. Korzystają jednak z usług firm zewnętrznych. My chcemy mieć to w całości u siebie, na swojej infrastrukturze, gdzie w pełni kontrolujemy, co się dzieje i jesteśmy w stanie tym zarządzać” – tłumaczył Marcin Dudek, szef CERT Polska, dodając, że NASK chce zbudować wokół platformy stałą społeczność badaczy bezpieczeństwa.

Zgłoszenia przyjmowane są przez platformę hack.cert.pl. Udział mogą wziąć osoby pełnoletnie z polskim numerem PESEL, polską rezydencją podatkową i krajowym kontem bankowym, na które trafi ewentualna nagroda. Program ma otwarty charakter, NASK zapowiada, że z czasem mogą dołączyć do niego kolejne instytucje publiczne chcące poddać swoje systemy testom bezpieczeństwa. Szczegółowe zasady dostępne są na stronie hack.cert.pl.