Positive Technologies подвела итоги Standoff Bug Bounty за 2025 год

В Positive Technologies подвели итоги работы площадки Standoff Bug Bounty за 2025 год, подробностями о чём с Rozetked поделились в пресс-службе компании. На платформе кратно увеличилось число исследователей, программ и найденных уязвимостей.

В компании отмечают, что уровень опасности каждого третьего найденного (32%) недостатка оценивался как высокий и критический. Рекордсменом стал офлайн-бизнес: в этом секторе 37% принятых отчетов содержали данные о багах, представляющих наибольший риск.

Другая статистика:

• количество багхантеров на платформе выросло на 74% и достигло 32 тысяч;
• большинство исследователей участвует в программах багбаунти от одного до трёх лет, а каждый пятый багхантер имеет более длительный опыт работы в этой сфере;
• в качестве основных факторов мотивации специалисты отмечают не только получение денежных выплат (92%), но также развитие навыков и накопление опыта (76%), укрепление профессиональной репутации и обретение признания в сообществе (54%);
• за год багхантеры сдали в общей сложности 7870 отчетов — на 61% больше, чем годом ранее;
• среди этих отчётов было 2909 уникальных и принятых к оплате, что на 34% превышает показатель 2024 года;
• самый актуальный класс багов за все время работы платформы — недостатки контроля доступа: в 2025 году к этому типу отнесено 58% всех уязвимостей высокой и критической степеней опасности.

С увеличением количества отчётов вырос и уровень вознаграждений. Общий объём вознаграждений исследователям составил более 160 млн рублей (на 49% больше, чем за 2024 год). Максимальная награда на площадке составила 4 970 800 рублей, а средняя выплата за принятый отчёт превысила 65 000 рублей.

«Наше исследование показало, что две трети компаний запускают багбаунти прежде всего для превентивного укрепления безопасности, считая такие программы элементом системной защиты <...> Такой подход оправдывает ожидания: бизнес выявляет критически опасные уязвимости, лучше видит поверхность атаки, совершенствует взаимодействие между командами разработки и безопасности, что в итоге снижает уровень рисков»

— Азиз Алимов, руководитель Standoff Bug Bounty