Google, 2022 yılında rekor kırarak güvenlik araştırmacılarına 12 milyon dolardan fazla ödül dağıttı
Google’un raporuna göre 2022 yılı içerisinde, 68 ülkedeki güvenlik araştırmacıları tarafından 2900’ün üzerinde güvenlik sorunu rapor edilmiş. Bu raporlar doğrultusunda toplamda 12 milyon dolardan fazla ödül ücreti ödenmiş. Yine aynı kapsamda 2021 yılında 8,7 milyon dolar ödenmişti. Şirket, bu kapsamda en fazla ödemeyi Android işletim sistemindeki bulunan bir rapor kapsamında gerçekleştirmiş.
Şirket, 2022 yılı kapsamında Android işletim sisteminde keşfedilen hatalar için toplamda 4,8 milyon dolar ödeme gerçekleştirmiş. Google ayrıca Android yonga seti üreticileriyle işbirliği içinde sunduğu özel bir ödül programı olan ve yalnızca davetlilerin katılabileceği Android Chipset Security Reward Program (ACSRP) aracılığıyla 700 güvenlik raporu için 486 bin dolar ödül ücreti vermiş.
En büyük ödül ücreti, “gzobqq” adlı araştırmacı tarafından Android işletim sisteminde beş hatadan oluşan istismar zincirini ((CVE-2022-20427, CVE-2022-20428, CVE-2022-20454, CVE-2022-20459, CVE-2022-20460) detaylandıran bir rapor kapsamında 605 bin dolar ödemesi olmuş. Yine aynı araştırmacı 2021 yılında, Android işletim sisteminde keşfettiği kritik istismarlar zinciri kapsamında o zaman için 157 bin dolar ödül ücreti kazanmıştı ve o zaman için en yüksek ödül ücretiyidi.
Şirket bunlarla birlikte 2022 yılı içerisinde Chrome OS’ta 110 ve Chrome tarayıcısında da keşfedilen 363 güvenlik sorunu için toplamda 4 milyon dolar ödeme gerçekleştirmiş.
Google, açık kaynak yazılımını kullanan ürünlerde meydana gelebilecek güvenlik açıkları da dahil olmak üzere açık kaynak projelerindeki güvenlik açıklarını tespit eden kişileri ödüllendirmek için bir program başlatmıştı. Bu kapsamda 100’den fazla araştırmacının bu programa katıldığı ve 110 bin doların üzerinde ödül ücreti verilmiş.
Araştırmacılara ödenen ödül ücretleri dışında ise 170’ten fazla araştırmacıya 250 bin dolardan fazla hibe desteği verilmiş. Google’un başlattığı hibe programının amacı, herhangi bir güvenlik açığı bulunmasa bile şirketin ürün ve hizmetlerinin güvenliğini araştıran araştırmacıları ödüllendirmek olduğu belirtiliyor.
