Standoff Hacks premia gli Hacker etici, quelli che “rompono tutto” e vengono pagati per farlo

Standoff Hacks è un concorso di sicurezza informatica che premia i migliori ricercatori di bug. L'evento si è svolto a Shanghai e ha visto la partecipazione di 30 ricercatori indipendenti che hanno vinto 300.000 euro circa.

Si è conclusa a Shanghai la settima edizione di Standoff Hacks, evento internazionale organizzato dalla piattaforma Standoff Bug Bounty per aziende e ricercatori di sicurezza indipendenti. I partecipanti hanno ricevuto quasi 300.000 euro per aver individuato vulnerabilità nei software di VK, T-Bank, Jet Infosystems e 1C-Bitrix.

Secondo gli organizzatori, il montepremi ha raggiunto una cifra record nella storia di Standoff Hacks. L’annuncio ha inoltre sottolineato che, per la prima volta, il totale ha superato i premi dell’evento HackerOne H1-361, svoltosi all’inizio di quest’anno in Indonesia.

Standoff Hacks è un concorso a premi chiuso dedicato alla segnalazione di vulnerabilità. La parte principale dura fino a due settimane e si svolge online: i ricercatori cercano vulnerabilità nei sistemi delle aziende e inviano i relativi report. La parte offline comprende una cerimonia di premiazione per i vincitori e incontri tra i rappresentanti delle aziende e i ricercatori di sicurezza.

Trenta ricercatori indipendenti hanno partecipato all’evento di Shanghai. Nell’arco di 14 giorni, i partecipanti hanno presentato 353 segnalazioni di vulnerabilità di varia gravità. Di queste, 175 sono state ritenute valide e retribuite.

I ricercatori hanno individuato 38 vulnerabilità critiche, 12 delle quali sono state confermate dagli organizzatori del programma. I partecipanti hanno inoltre scoperto 86 vulnerabilità di elevata gravità, 39 delle quali sono state accettate per il pagamento. Il pagamento totale è stato più del triplo rispetto all’importo ricevuto durante la precedente edizione di Standoff Hacks, svoltasi in India.

I partecipanti hanno testato la sicurezza di quattro aziende: VK, T-Bank, Jet Infosystems e 1C-Bitrix. I ricercatori hanno avuto accesso sia a programmi pubblici che esclusivi. T-Bank ha offerto il suo programma principale di scansione delle vulnerabilità e un programma separato chiamato “T-Bank University”. VK ha aperto i suoi servizi MAX e VK ID per i test. 1C-Bitrix ha fornito il portale cloud Bitrix24 per la ricerca. Jet Infosystems ha lanciato il suo programma standard di scansione delle vulnerabilità e un’area di test separata relativa agli eventi inaccettabili.

Infosystems Jet ha dichiarato che la partecipazione a Standoff Hacks ha contribuito a convalidare l’attuale livello di sicurezza del sistema e a identificare le aree di miglioramento. L’azienda ha inoltre sottolineato che gli organizzatori hanno attratto ricercatori internazionali con un’ottima reputazione sulle piattaforme internazionali di bug bounty. Uno di questi specialisti è risultato vincitore del programma Infosystems Jet a Standoff Hacks.

r0hack è stato nominato vincitore di Standoff Hacks a Shanghai e ricercatore più produttivo (MVP). Freeman si è classificato secondo e BlackFan terzo. Le aziende hanno inoltre premiato i partecipanti più attivi nei propri programmi.

Aziz Alimov, direttore del programma Standoff Bug Bounty, ha sottolineato come il format aiuti le aziende a interagire con la comunità internazionale di ricerca sulla sicurezza. Ha spiegato che i partecipanti ottengono l’accesso ad aree di test esclusive e ricevono ricompense maggiori per le scoperte di valore. Standoff Hacks si è già tenuto in India e Vietnam e gli organizzatori continuano ad espandere la portata geografica della comunità.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response