Możesz legalnie „hakować” rządowe serwisy. Nawet 20 tys. złotych nagrody

W ciągu pierwszych dziewięciu miesięcy 2026 roku liczba wykrytych podatności na całym świecie wyniosła 105 tys., znacznie przekraczając poziom z całego 2025 roku. Poszukiwania luk w systemach stają się tak kluczowe, że uruchamiane są programy umożliwiające niezależnym badaczom zgłaszanie znalezionych dziur. Taki krok podjął NASK, który uruchomił swoją platformę Bug Bounty obejmującą serwisy publiczne.

5 podmiotów na start. „Będziemy dodawać kolejne”

Jak mówił podczas wtorkowej konferencji prasowej wicepremier i minister cyfryzacji Krzysztof Gawkowski, zwiększyła się nie tylko liczba ataków prowadzonych przez cyberprzestępców. Znacznie aktywniejsze są również grupy APT, działające na zlecenie państw nieprzychylnych Polsce.

Z tego też wynika uruchomienie platformy, w której pula nagród za zgłaszanie podatności będzie wynosiła w sumie milion złotych.

„Ten milion jest dla tych, którzy chcieliby wziąć udział w szukaniu podatności i możliwości, które mogłyby posłużyć cyberprzestępcom. Chcemy, żeby społeczni, etyczni hakerzy przeszukiwali nasze systemy państwowe pod kątem wszystkiego, co mogłoby pomóc w przeprowadzeniu ataku, o miejscu, które będzie podatne, a co będzie mogło komplikować los instytucji rządowych i wielu urzędów centralnych” – podkreślił wiceszef rządu.

W programie udział biorą:

• portal gov.pl,
• systemy NASK,
• CERT Polska,
• komunikator mSzyfr,
• gmina Władysławowo.

Jak jednak zaznaczył dyrektor NASK Radosław Nielek, jest to dopiero początek.

„Będziemy dodawać kolejne podmioty. Już teraz zachęcam organizacje, które są na tyle dojrzałe, że załatały swoje systemy korzystając z własnych możliwości i nie widzą już więcej dziur. To jest ten moment, w którym można wejść na platformę, aby specjaliści poszukali podatności. Sama wiedza o podatnościach nie zwiększa nam bezpieczeństwa, jeżeli nie łatamy ich szybko” – dodał Nielek.

Nielek: dane potrzebne do celów podatkowych

Szef CERT Polska Marcin Dudek zaznaczył z kolei, że na stronie hack.cert.pl można zapoznać się z zasadami testowania, za zgłoszenie jakich podatności są nagrody i które instytucje można testować.

Udział w akcji mogą brać osoby pełnoletnie z numerem PESEL, polską rezydencją podatkową i polskimi rachunkami bankowymi. Zaznaczył przy tym, że jest to pierwsza tego rodzaju platforma przygotowana w całości przez państwo.

„Są rządowe programy, na świecie jest ich niewiele, ale korzystają z narządzi komercyjnych, firm zewnętrznych. My chcieliśmy w całości mieć to u siebie na swojej infrastrukturze, gdzie w pełni kontrolujemy co się dzieje i jesteśmy w stanie tym zarządzać” – wyjaśnił Dudek, dodając, że w planach jest obniżenie progu wiekowego uczestnictwa do 16 roku życia za zgodą opiekuna prawnego.

Logowanie do platformy ma się odbywać się za pomocą Węzła Krajowego Identyfikacji Elektronicznej (np. Profilem Zaufanym). Zapytaliśmy, jakie konkretnie dane będzie widział zespół CERT w systemie i dlaczego.

Marcin Dudek wskazał, że w tym gronie znajdą się imię, nazwisko, PESEL danej osoby oraz numer konta, który trzeba będzie podać po przyznaniu nagrody. Numery PESEL mają z kolei być hashowane.

„Jeżeli mamy mieć możliwość wypłacenia pieniędzy, to po pierwsze musimy znać numer konta, a po drugie musimy znać dane, które pozwolą NASK odprowadzić od tego podatek” – zwrócił z kolei uwagę na kwestie finansowe Radosław Nielek. Oznacza to, że uczestnik nie będzie musiał podejmować działań dotyczących rozliczenia podatku od otrzymanej nagrody.