Apple offre 2 milioni per exploit zero-click

Apple ha aggiornato il suo programma Security Bounty aggiungendo nuove categorie e soprattutto raddoppiando il premio massimo per i ricercatori di sicurezza. Quelli che segnaleranno exploit in grado di eseguire codice remoto senza interazione dell’utente (zero-click) riceveranno 2 milioni di dollari. Questo è il tipico attacco effettuato dagli spyware commerciali, come Pegasus, Graphite e Predator.

Fino a 5 milioni di dollari con i bonus

Il programma Security Bounty è stato annunciato nel 2020. Finora sono stati pagati premi per oltre 35 milioni di dollari ad oltre 800 ricercatori di sicurezza. Apple ha ora aggiornato il programma incrementando notevolmente i premi. Ovviamente sono più alti per gli exploit più complessi. L’azienda di Cupertino sottolinea che gli unici attacchi contro iOS arrivano dagli spyware mercenari.

Sono molto sofisticati e i bersagli sono un numero ristretto di persone (giornalisti, politici, attivisti). Richiedono investimenti di milioni di dollari, quindi sono quasi sempre “sponsorizzati” dai governi. I cybercriminali continuano a migliorare le loro tecniche per cercare di superare le protezioni più avanzate di Apple, come Lockdown Mode e Memory Integrity Enforcement.

Pertanto, l’azienda di Cupertino vuole incentivare i ricercatori a scoprire eventuali vulnerabilità attraverso ricompense più elevate. Chi segnalerà una catena di bug che consente di effettuare attacchi remoti zero-click (come quelli associati agli spyware) riceverà un premio di 2 milioni di dollari. Per gli exploit che richiedono un solo click da parte degli utenti è prevista una ricompensa di 1 milione di dollari.

Combinando vari bonus (premi per exploit che sfruttano più vulnerabilità), i ricercatori possono guadagnare fino a 5 milioni di dollari. Apple ha inoltre aggiunto altre categorie al programma, come l’aggiramento della sandbox di WebKit (fino a 300.000 dollari) e gli exploit contro i nuovi chip wireless C1/C1X e N1 (fino a 1 milione di dollari).