Багбаунти против даркнета: экономика уязвимостей

🆚Багбаунти против даркнета: почему белые хакеры уходят на теневой рынок Разрыв между легальными выплатами за уязвимости и предложениями в даркнете остается критическим. Аналитика показывает неприятную для бизнеса математику: медианная выплата за критическую дыру в программах багбаунти за прошлый год составила скромные 200 тысяч рублей. В это же время на теневом рынке готовый доступ к корпоративной инфраструктуре стабильно торгуется в диапазоне от $10 000 до $100 000. 🔍Разница не только в деньгах, но и в товаре. На легальных платформах компании платят за отчет о воспроизводимой ошибке в конкретном сервисе. Теневым покупателям отчеты не нужны - им нужен рабочий рычаг для атаки. Именно поэтому в даркнете 43% объявлений приходятся на RCE (удаленное выполнение кода) и 25% - на LPE (повышение привилегий в системе). В связке эти два класса уязвимостей позволяют зайти в сеть и мгновенно закрепиться на уровне администратора.

🟦По данным исследователей, около половины предложений на черном рынке - это чистые уязвимости нулевого дня (0-day), о которых разработчик софта еще даже не догадывается. Покупают их под конкретные цели. 🟦Первичный доступ к инфраструктуре крупного промышленного объекта или ритейлера продается как самостоятельный продукт - через VPN-аккаунты, RDP-доступы или слитые токены. 🟦Доступ к госучреждениям или банкам на теневых площадках может доходить до $1–1,5 млн.

Ситуацию усугубляет правовой вакуум. В России до сих пор нет вменяемого юридического статуса для независимых исследователей. Прошлый законопроект о легализации белых хакеров благополучно отклонили. Пока легальный рынок предлагает исследователям копейки и риск уголовного преследования за инициативный аудит, даркнет гарантирует анонимность и миллионные бюджеты в крипте. 🦔 CyberYozh