⚠️ BUG BOUNTY: cosa sono (e come rendono milionari gli hacker)

Immaginate di tornare a casa dopo una lunga giornata di lavoro. Vi buttate sul divano, accendete la TV, accarezzate il cane, tutto come al solito. Quello che non sapete è che qualcuno vi sta guardando. La società che vi ha venduto la telecamera di sicurezza che avete installato in salotto per controllare la casa quando siete fuori è stata hackerata. Ora ci sono estranei dall'altra parte del mondo che possono vedere quando uscite, quando dormite, quando litigate col partner, quando girate per la casa in pigiama, e voi non ne avete la minima idea. Purtroppo non è uno scenario così fantascientifico come può sembrare, è successo davvero, più volte di quello che pensate. La triste realtà è che ci sono costantemente gruppi di hacker che cercano falle o vulnerabilità all'interno dei software, sperando di sfruttarle o di venderle nel dark web prima che i produttori se ne accorgano e sistemino il problema. Non tutte le società però accettano di stare in attesa che qualcuno trovi le vulnerabilità e le sfrutti a proprio vantaggio. Alcune decidono di prendere la la situazione in pugno e organizzare dei bug bounty, cioè delle vere e proprie competizioni in cui gli hacker si sfidano e cercano di trovare le falle prima degli altri, in modo da riscuotere la ricompensa da parte dell'azienda. Alcuni hanno fatto di questi contest un vero e proprio lavoro. Oggi parleremo di questo, vedremo cosa sono i bug bounty, scopriremo quanto guadagna un cacciatore di bug e cercheremo di capire se è più conveniente segnalare la falla all'azienda oppure venderla nel dark web al miglior offerente. Come sempre però, per capire tutto questo dobbiamo partire dall'inizio. Ciao a tutti, buon anno e benvenuti in questo nuovo video. Oggi vediamo un tema non molto conosciuto ma secondo me super interessante. Partiamo da una domanda: come fanno le grandi case tech a capire se ci sono vulnerabilità nei loro prodotti? Le strade sono due. O i loro clienti vengono hackerati e quindi scavando si scopre che appunto c'erano delle falle all'interno dei sistemi, oppure organizzano loro stesse delle gare per premiare chi trova queste falle e permette quindi loro di sistemarle prima che qualche malintenzionato le sfrutti. Sembra un concetto tutto sommato nuovo, giusto? Qualcosa venuto fuori negli ultimi anni. E invece la nostra storia inizia nel 1983. In California, dentro agli uffici di una piccola società chiamata Hunter and Ready. Questa società produce sistemi operativi per applicazioni industriali. È un settore molto tecnico e molto di nicchia. Hanno appena sviluppato un nuovo sistema chiamato WRTX e sono talmente certi che questo sistema sia totalmente sicuro e impenetrabile che lanciano una sfida pubblica. Chiunque avesse trovato una falla nel codice avrebbe vinto un'auto. Non un'auto qualsiasi, un Volkswagen Beetle che che in Italia conosciamo come il maggiolino. Era un gioco di parole geniale, perché in inglese bug significa sia errore informatico che insetto. Quindi chi avesse trovato un bug avrebbe vinto un bug, un maggiolino, un insetto. Quella che sembrava una trovata di marketing era in realtà l'inizio di una piccola rivoluzione, perché per la prima volta un'azienda stava dicendo al mondo: aiutateci a trovare i nostri errori e noi vi ricompenseremo. Fun fact: vi siete mai chiesti perché gli errori informatici si chiamano bug, cioè insetti? Dovete sapere che nel 1947 la pioniera dell'informatica Grace Hopper, ricercatrice all'Università di Harvard, stava avendo problemi con il proprio computer, per poi scoprire che il malfunzionamento era dovuto alla presenza di una falena dentro al sistema. Da lì, quando qualcuno aveva un problema al proprio computer, lei diceva: "Forse è un bug!" intendendo proprio un insetto. Io vivo per questi aneddoti. Comunque, quella del maggiolino fu la prima competizione volta a trovare delle falle nel codice, ma il vero punto di svolta arrivò 12 anni dopo, nel 1995, grazie a Netscape. Per chi non lo sapesse, come me ad esempio, visto che sono nata proprio nel '95, Netscape Navigator è stato uno dei primissimi browser con interfaccia grafica. Non voglio esagerare, se ho esagerato me lo scriverete nei commenti, ma penso che se oggi siamo tutti su internet è anche grazie ai browser come Netscape, che hanno preso qualcosa che fino a quel momento era riservato solo agli smanettoni, a chi era in grado di digitare da un terminale per cercare i siti, e lo hanno reso accessibile per tutti. Nel 1995 stava per uscire la versione 2.0 di questo browser, e una delle preoccupazioni riguardava la possibilità che dei malintenzionati sfruttassero eventuali falle nel codice per fare dei danni. La Netscape ebbe un'intuizione Decisione cruciale: invece di considerare gli hacker come nemici da combattere, perché non trasformarli in alleati? Nacque così il primo vero programma ufficiale di bug bounty della storia. Netscape lanciò una competizione e offrì ricompense fino a 1000 dollari, insieme a gadget e magliette aziendali, a chiunque avesse scoperto delle vulnerabilità significative nel loro browser. La stampa dell'epoca ne parlò come di una trovata un po' bizzarra, Sembrava proprio strana l'idea di pagare degli sconosciuti per attaccare il proprio prodotto. Però funzionò, perché la società ricevette segnalazioni preziose e riuscì a correggere delle falle che altrimenti sarebbero rimaste nascoste. Nonostante questo successo, l'idea dei bug bounty non prese subito piede. Per tutti gli anni '90 e i primi anni 2000, la maggior parte delle aziende continuò a gestire la sicurezza in modo molto chiuso. Gli hacker erano visti come una minaccia. Punto. Se qualcuno segnalava una falla senza essere stato invitato a cercarla, la reazione più comune era la diffidenza, quando non addirittura la minaccia di procedere per vie legali, visto che comunque provare ad hackerare un'azienda che non ce lo ha chiesto è illegale, anche se lo facciamo a fin di bene. Qualcosa però continuava a muoversi. Nel 2002 un'azienda chiamata iDefense lanciò un programma che faceva un po' da ponte fra i ricercatori di bug e le aziende. Funzionava così: se trovavi un bug in qualsiasi software, potevi segnalarlo a iDefense, che ti pagava per la segnalazione e poi si occupava di girare l'informazione al produttore. Era un modo per dare ai ricercatori un canale legittimo e remunerato senza dover, diciamo, bussare alla porta di aziende che spesso, come dicevo, erano ostili. Nel 2004 arrivò il secondo programma di bug bounty lanciato da Mozilla per il suo nuovo browser Firefox. Il premio era di $500 per ogni vulnerabilità critica trovata. Quindi non mega cifre, però era comunque qualcosa. La vera e propria svolta arrivò poi fra il 2010 e il 2011, quando entrarono in gioco le più grandi aziende della Silicon Valley. Google lanciò il suo Vulnerability Reward Program, che esiste ancora adesso, volto proprio a premiare chi trova dei bug nei prodotti Google, quindi nel browser Chrome, su Gmail e così via. L'anno dopo fu il turno di Facebook, che lanciò un programma chiamato White Hat che offriva un minimo di $500 per ogni bug senza un tetto massimo. Quindi si poteva arrivare teoricamente anche a mega cifre. Anche questo programma esiste ancora oggi, si chiama Meta Bug Bounty e premia chiunque trovi vulnerabilità su Facebook, Instagram, ma anche nei visori Quest, negli occhiali Ray-Ban Meta e così via. Da quel momento in poi premiare chi trovava vulnerabilità diventò quasi mainstream. Nel 2016 il Dipartimento della difesa degli Stati Uniti lanciò un programma chiamato Hack the Pentagon, in cui gli hacker dovevano provare a mettere le mani su informazioni classificate, proprio appunto tentando di hackerare i sistemi del Pentagono. In poche settimane furono scoperte e poi corrette circa 140 vulnerabilità, tanto che questo programma fu poi esteso anche all'aeronautica, all'esercito e ad altre agenzie federali americane. La Tesla, fin dalla sua fondazione, offre ricompense per chi trova bug nelle sue auto elettriche. E in passato ha persino messo in palio le auto stesse come premio. La Nintendo paga per le vulnerabilità trovate nelle console Switch. E poi ci sono banche, assicurazioni, compagnie aeree. Ormai quasi tutti i settori hanno scelto questo modello di ricerca delle vulnerabilità perché hanno capito che conviene, visto che se non sono loro a pagare chi trova le vulnerabilità, sarà qualche malintenzionato a sganciare il denaro. Sicuramente l'azienda che organizza i peggiori bug bounty è la società Uber, protagonista testa di non uno bensì due scandali diversi inerenti proprio il programma di ricerca di vulnerabilità. Ma di questo ne parliamo nel video della prossima settimana. Oggi ci sono anche piattaforme dedicate che fanno un po' quello che faceva iDefense una volta, quindi creano un ponte fra i cacciatori di bug e le aziende. Mi vengono in mente sicuramente HackerOne e Bugcrowd, ma ce ne sono diverse altre, alcune specializzate in settori specifici come le criptovalute o i sistemi industriali. Per darvi un'idea idea di quanto sia diffusa come pratica, HackerOne da sola nel 2025 ha avuto all'attivo circa 2000 programmi di ricompense per vari tipi di clienti, dalle piccole startup al Dipartimento della Difesa degli Stati Uniti. Ma come funziona in concreto un programma di bug bounty? Un'azienda decide di lanciare una competizione. Come prima cosa definisce un perimetro, cioè stabilisce quali sistemi, applicazioni, applicazioni o siti web possono essere testati per cercare queste falle. Poi pubblica delle regole chiare: cosa è permesso fare, cosa è vietato, quali tipi di vulnerabilità interessano, quanto valgono. Questa parte è fondamentale perché crea quello che in gergo tecnico viene chiamato safe harbor, cioè porto sicuro. In pratica l'azienda sta dicendo: se rispetti queste regole e agisci in buona fede, non ti denunceremo, anzi ti pagheremo. Le ricompense seguono chiaramente una logica di gravità. I bug minori, quelli che creano fastidi ma non veri e propri danni, possono valere qualche centinaio di dollari. Le vulnerabilità più serie, tipo una falla che permette di accedere a dati che non dovrebbe essere possibile vedere, sono pagate di solito qualche migliaio di dollari. E poi ci sono i bug critici, quelli che permettono di prendere il controllo completo di un sistema o di rubare informazioni sensibili su larga scala. Per questi le ricompense possono arrivare a centinaia di migliaia di dollari. Casi eccezionali anche milioni. Ad esempio, l'azienda 1Password ha lanciato l'anno scorso un bug bounty da 1 milione di dollari per chiunque avesse trovato vulnerabilità critiche nel suo gestore di password. La Apple già da qualche tempo offre fino a 2 milioni di dollari a chi trova dentro agli iPhone delle vulnerabilità zero-click, che sono falle che possono essere sfruttate senza nessun intervento umano, come abbiamo visto ad esempio nei casi di Paragon e Pegasus. Per questo motivo, come dicevo all'inizio inizio del video, ci sono persone che per lavoro cercano vulnerabilità e queste persone vengono chiamate bug hunters, cacciatori di bug. Stanno lì ogni giorno a provare a entrare nei sistemi, individuare errori nel codice, falle di sicurezza, problemi di autenticazione e così via. Ogni volta che un cacciatore di bug trova qualcosa di interessante deve preparare un report dettagliato in cui spiega esattamente qual è il problema, come lo ha trovato, quale impatto potrebbe avere sulla sicurezza. Questo report viene inviato tramite i canali previsti dal programma di bug bounty, viene analizzato e se è tutto a posto viene pagata la ricompensa. Sembra una cosa semplice ma non lo è per niente, per vari motivi. Innanzitutto è un lavoro molto aleatorio perché magari stanno mesi su una singola vulnerabilità e quando finalmente riescono a individuarla, a sfruttarla e a fare il report, viene messo un aggiornamento di sicurezza che gli impedisce di riscuotere la ricompensa. Per ogni bug valido che viene premiato ci sono decine di segnalazioni che vengono respinte perché duplicate, perché già note, perché fuori dal perimetro, perché troppo banali. Inoltre la competizione in questo settore è molto feroce e non si ha modo di capire se c'è qualcun altro che sta lavorando alla stessa vulnerabilità a cui stiamo lavorando noi e a che punto sono. Per cui, come dicevo, questo lavoro non è il classico posto fisso, è molto incerto. E a questo punto potremmo chiederci Ma ne vale la pena? O meglio, andando alla domanda che davvero ci stiamo facendo tutti: ma quanto può guadagnare un cacciatore di bug? La risposta chiaramente è: dipende. Se lo facciamo come hobby della domenica, siamo già fortunati se troviamo delle falle che ci fanno guadagnare qualche centinaio di dollari. Ma se siamo degli hacker super esperti che fanno solo questo tutto il giorno, quanto possiamo arrivare a guadagnare? Partiamo dai numeri generali. Secondo i dati di HackerOne del 2025, in un anno la piattaforma ha distribuito oltre 81 milioni di dollari in ricompense. I top performer, che sono i migliori 100 hacker al mondo sulle principali piattaforme, hanno incassato complessivamente oltre 31 milioni di dollari. Alcuni di loro guadagnano stabilmente più di 100.000 dollari all'anno, superando di gran lunga lo stipendio medio di un normale ingegnere software. Uno di questi è Santiago López, un ragazzo argentino che ha iniziato a cercare bug a 16 anni guardando tutorial su YouTube e leggendo blog tecnici. Non aveva ancora nessuna formazione professionale, nessun titolo di studio, solo tantissima curiosità e una grande determinazione. Nel 2019, quando aveva 19 anni, è diventato il primo hacker a superare il milione di dollari di guadagni tramite programmi di bug bounty. Aveva scovato oltre 1600 vulnerabilità per aziende come Twitter, Verizon e Yahoo. E non è neanche il più giovane cacciatore di bug, perché nel 2016 un bambino finlandese irlandese di 10 anni di nome Jani scoprì una grave falla nell'app di Instagram che permetteva di cancellare i commenti di chiunque. Questa scoperta gli fruttò una ricompensa di $10.000, rendendolo il più giovane bug hunter premiato. Fin qui comunque abbiamo parlato di scenari idilliaci, di hacker che collaborano con le aziende per rendere il mondo digitale più sicuro. Ma ricordate la telecamera hackerata con cui ho aperto questo video? Ecco, Storie di quel tipo esistono perché purtroppo non tutti gli hacker scelgono la strada più etica. Esiste un mercato parallelo, molto meno visibile ma estremamente attivo, dove le vulnerabilità dei software vengono vendute a chi vuole sfruttarle, non correggerle. E questo mercato spesso paga molto, molto di più di qualsiasi programma di bug bounty legittimo. Ma la cosa che fa più specie è che non si tratta solo di gang criminali. Spesso sono le agenzie di intelligence o le aziende concorrenti utenti a comprare queste vulnerabilità. Prendiamo un esempio concreto. Per anni la ricompensa massima offerta da Apple per una vulnerabilità su iPhone era di $200.000. Nello stesso periodo una società di intermediazione chiamata Zerodium offriva $2 milioni per lo stesso tipo di vulnerabilità. Zerodium acquistava queste falle e le rivendeva a clienti governativi, agenzie di intelligence, entità che volevano usarle per infiltrarsi nei sistemi altrui. Proviamo un attimo a metterci nei panni di hacker che trova una vulnerabilità su iPhone, la deve regalare alla Apple ricevendo una ricompensa che a malapena gli consente di acquistare un bilocale a Quinzano d'Oglio in provincia di Brescia, o venderla a Zerodium ricevendo una ricompensa che gli permette di acquistare una villetta con piscina in Costa Smeralda. Per questo motivo la Apple nel corso del tempo ha aumentato i massimali delle ricompense, che ora per fortuna sono più vicini alla villa in Costa Smeralda che al bilocale a Quinzano d'Oglio. Il problema è che chiaramente sostanzialmente ogni volta che aumentano le ricompense legittime aumentano anche quelle nel dark web, quindi è un'eterna rincorsa. Ho parlato solo di Zerodium, ma ci sono tantissimi gruppi di cybercriminali che non fanno che ricercare vulnerabilità e offrire milioni di dollari a chi gli fornisce falle e istruzioni su come sfruttarle. Purtroppo spesso l'unico aspetto a cui ci si può appigliare è l'etica degli hacker, sperando che rinuncino a un guadagno più alto ma illegale e preferiscano invece segnalare la falla a chi di dovere. Preciso comunque, se qualcuno di voi fosse interessato a entrare in qualche programma di bug bounty per cercare delle vulnerabilità, che è importante affidarsi sempre e solo a canali ufficiali. Se ci mettiamo a cercare di entrare nei sistemi di un'azienda che non ha attivato programmi di bug bounty, rischiamo anche che procedano per vie legali, perché comunque cercare di entrare in un sistema rimane una cosa illegale. Facciamolo sempre e solo nell'ambito di contratti che abbiamo sottoscritto con le aziende, oppure appunto di programmi di bug bounty ufficiali. Bene, come sempre spero che il video di oggi vi sia piaciuto e vi abbia fatto iniziare bene l'anno nuovo. Fatemi sapere nei commenti cosa ne pensate e non perdetevi il caso Uber della prossima settimana perché ha dell'incredibile. Io vado a mangiarmi dei bounty perché a furia di parlarne mi è venuta voglia. A presto!