Apple ha appena annunciato una trasformazione radicale del suo programma di bug bounty, elevando i compensi a livelli mai visti prima. Questa decisione arriva in un momento cruciale, quando gli spyware mercenari rappresentano una minaccia concreta per attivisti, giornalisti e membri della società civile in tutto il mondo.
Due milioni di dollari: cifra record per chi scova le vulnerabilità più critiche
Il nuovo programma Apple Security Bounty segna una vera e propria rivoluzione nel settore, raddoppiando il premio massimo fino a raggiungere i 2 milioni di dollari. Questo compenso record viene riservato a chi riuscirà a identificare catene di exploit capaci di replicare gli effetti degli spyware mercenari più avanzati. Si tratta di una cifra che supera qualsiasi altro programma di bug bounty attualmente attivo nel mercato tecnologico.
Ma le sorprese non finiscono qui: attraverso il sistema di bonus della compagnia, che prevede ricompense aggiuntive per chi bypassa la modalità Lockdown o scopre vulnerabilità nelle versioni beta, il compenso può addirittura superare i 5 milioni di dollari. Una somma che testimonia quanto Apple consideri cruciale la protezione dei suoi dispositivi dalle minacce più sofisticate.
Nuove categorie e obiettivi ampliati
L'evoluzione del programma non si limita all'aumento dei premi. Apple ha deciso di espandere significativamente le categorie di vulnerabilità coperte, includendo nuove superfici d'attacco che riflettono l'evoluzione del panorama delle minacce. Gli exploit di prossimità wireless attraverso qualsiasi tecnologia radio possono ora fruttare fino a 1 milione di dollari, mentre le fughe dalla sandbox WebKit tramite un singolo click valgono fino a 300.000 dollari.
Anche iCloud e Gatekeeper vedono incrementi sostanziali nei loro compensi. Un accesso non autorizzato completo ai servizi cloud di Apple può valere fino a 1 milione di dollari, mentre un bypass completo di Gatekeeper - il sistema di sicurezza che protege i Mac dalle applicazioni maligne - è stato valutato a 100.000 dollari.
Target Flags: accelerare il processo di verifica
Una delle novità più interessanti riguarda l'introduzione dei cosiddetti Target Flags, un sistema innovativo che permetterà ai ricercatori di dimostrare in modo oggettivo l'effettiva sfruttabilità delle vulnerabilità scoperte. Questo meccanismo si applica particolarmente alle categorie più critiche, come l'esecuzione remota di codice e i bypass dei controlli TCC (Transparency, Consent, and Control).
I ricercatori che utilizzeranno questo nuovo sistema potranno beneficiare di "premi accelerati", elaborati immediatamente dopo la verifica della scoperta, anche prima che venga sviluppata e distribuita una correzione. Un approccio che dovrebbe incentivare una partecipazione più attiva della comunità di sicurezza informatica.
L'impegno verso la società civile
Parallelamente agli incentivi economici, Apple ha annunciato un'iniziativa che va oltre il puro aspetto commerciale. La compagnia fornirà 1.000 iPhone 17 (acquistabile qui su Amazon) alle organizzazioni della società civile, con l'obiettivo di far arrivare questi strumenti nelle mani di utenti a rischio, inclusi attivisti e giornalisti che potrebbero essere nel mirino di spyware mercenari.
Questi dispositivi saranno equipaggiati con Memory Integrity Enforcement, una tecnologia che Apple definisce "il più significativo aggiornamento alla sicurezza della memoria nella storia dei sistemi operativi consumer". L'iniziativa si inserisce in una strategia più ampia iniziata nel 2022, quando la compagnia aveva stanziato 10 milioni di dollari in sovvenzioni per supportare organizzazioni impegnate nell'investigazione di attacchi spyware mirati.
Le modifiche al programma Apple Security Bounty entreranno in vigore a novembre 2025, quando verrà pubblicata anche la suddivisione completa delle nuove categorie, ricompense e bonus sul sito Apple Security Research.
