Об этом сообщило издание «КоммерсантЪ» со ссылкой на директора по развитию бизнеса безопасной разработки Positive Technologies Алексей Антонов.
С 1 июля 2025 года была запущена программа Bug Bounty (поиск уязвимостей в системах или продуктах компании за вознаграждение) MAX. С этого момента киберисследователи обнаружили в мессенджере 213 уязвимостей, сообщил Антонов на выставке «Связь-2026».
«КоммерсантЪ» сообщает, что по данным на 10 апреля, всего было принято 288 отчетов об уязвимостях (из 454 сданных). Общая сумма выплат «белым хакерам» составила почти 22 млн руб., средняя выплата — 349 тыс. руб. Мессенджер также исследовали участники платформ Bi.Zone и «Киберполигон», им было выплачено около 1,5 млн руб.
Чаще всего уязвимости находят по вектору IDOR (Insecure Direct Object Reference) — эта уязвимость позволяет злоумышленнику получить несанкционированный доступ к чужим данным, подменяя идентификатор объекта (например, ID сообщения, чата или пользователя) в запросе к серверу, рассказал «Ъ» один из «белых хакеров», знакомых с ходом поиска уязвимостей в MAX.
В Центре безопасности MAX заявили, что каждый отчет проходит строгую проверку, уязвимости устраняются в приоритетном порядке: «Платформу исследовали лучшие международные эксперты на конференции Zero Nights 2025, тогда же для привлечения специалистов было повышено вознаграждение за выявленную уязвимость».
В пресс-службе мессенджера сообщили, что все данные пользователей МAX надежно защищены.
«Bug Bounty — мировой стандарт и признак зрелой безопасности: независимые «белые хакеры» за вознаграждение помогают находить и быстро устранять уязвимости до того, как ими воспользуются злоумышленники. Попытки подать сам факт обнаружения уязвимостей в рамках Bug Bounty как «сенсацию» и признак небезопасности продукта искажают смысл этих программ, которые как раз и создаются для контролируемого поиска и оперативного устранения потенциальных рисков»,— заявили в мессенджере.