Państwo zapłaci hakerom za dziury w gov.pl. Za jeden błąd nawet 20 tys. zł

Jeden zgłoszony błąd w portalu gov.pl może być wart 20 tys. zł. Tyle wynosi najwyższa nagroda w programie, który we wtorek przedstawił wicepremier i minister cyfryzacji Krzysztof Gawkowski. Państwo zaprasza etycznych hakerów, by szukali słabych punktów w systemach administracji, zanim znajdą je przestępcy. Na nagrody NASK zarezerwował 1 mln zł.

Od kilkuset złotych do 20 tys. zł za jedną lukę

Program działa w modelu bug bounty, czyli płatnego zgłaszania podatności. Jak podaje PAP, uczestnicy przesyłają raporty przez platformę hack.cert.pl, którą zbudował i prowadzi CERT Polska. Wypłata następuje dopiero wtedy, gdy zespół CERT potwierdzi błąd, a instytucja wdroży poprawki. Wysokość nagrody zależy od wagi luki i wynosi od kilkuset złotych do 20 tys. zł.

Pieniądze pochodzą z budżetu NASK. Dyrektor w tej instytucji Radosław Nielek zaznaczył, że program jest na razie testowany w małej skali wśród podmiotów publicznych. Jeśli się sprawdzi, będzie stopniowo rozszerzany na kolejne jednostki samorządowe i administrację centralną. Instytucje, które chcą poddać swoje systemy takiej kontroli, mogą zgłaszać się same.

Gawkowski podkreślał, że „cel jest prosty”: chodzi o szybkie usuwanie błędów. Resort chce, by luki w systemach państwa, zwłaszcza w domenie gov.pl, wychodziły na jaw w kontrolowanych warunkach, zanim wykorzystają je cyberprzestępcy.

Pięć celów na start, w tym gmina nad morzem

W pierwszej odsłonie otwarto pięć konkursów. Hakerzy mogą testować portal gov.pl, komunikator mSzyfr, usługi gminy Władysławowo oraz systemy samego CERT Polska i NASK. Platforma określa dla każdej instytucji zakres testów, dozwolone metody i zasady przyznawania nagród.

Udział nie jest anonimowy. Do platformy loguje się przez Profil Zaufany, a uczestnik musi mieć ukończone 18 lat, numer PESEL i polską rezydencję podatkową. CERT Polska podkreśla, że to jeden z pierwszych na świecie programów bug bounty prowadzonych na niezależnej, krajowej platformie, bez komercyjnych pośredników.

Zobacz również:

TECHNOLOGIE · 01.11.2026Amazon pali miliardy na sztuczną inteligencję. Inwestorzy powiedzieli dość

Atak przeprowadzony w całości przez sztuczną inteligencję

Najmocniejszy sygnał padł jednak z ust szefa CERT Polska Marcina Dudka. Jak relacjonuje PAP, po raz pierwszy publicznie ujawnił, że jeden z przeanalizowanych przez jego zespół ataków został w całości przeprowadzony przez autonomiczne agenty AI. Przestępcy coraz częściej używają sztucznej inteligencji do automatycznego wyszukiwania i wykorzystywania błędów w oprogramowaniu.

Skala problemu rośnie szybko. Według Dudka liczba podatności obsłużonych przez CERT Polska wzrosła w ciągu trzech lat o ponad 300 proc. W 2025 r. zespół odnotował 1732 incydenty związane z lukami w publicznie dostępnych usługach i systemach informatycznych.

Dane z całego świata pokazują ten sam kierunek. W okresie od stycznia do września 2026 r. wykryto około 105 tys. nowych podatności, podczas gdy w całym 2025 r. było ich niespełna 71 tys. Oznacza to, że już po dziewięciu miesiącach wynik z poprzedniego roku został przekroczony o blisko połowę.

Ponad 270 tys. incydentów w jeden rok

Program nagród trafia na moment, w którym polskie zespoły reagowania pracują pod rosnącą presją. Ze sprawozdania pełnomocnika rządu ds. cyberbezpieczeństwa za 2025 r., które opublikowało Ministerstwo Cyfryzacji, wynika, że do zespołów CSIRT wpłynęło ponad 682 tys. zgłoszeń. Faktycznie obsłużonych incydentów było blisko 273 tys., o 144,4 proc. więcej niż rok wcześniej.

Chcesz częściej widzieć treści BNBN w Google?Dodaj nas do ulubionych źródeł

Źródło: Ministerstwo Cyfryzacji, sprawozdanie pełnomocnika rządu ds. cyberbezpieczeństwa za 2025 r.

Zdecydowaną większość spraw obsłużył CSIRT NASK, a 97 proc. jego incydentów stanowiły oszustwa komputerowe. CSIRT MON obsłużył 7125 spraw, a CSIRT GOV przeprowadził ponad 5 tys. interwencji. Luki w systemach publicznych to na tym tle kategoria mniejsza liczbowo, ale to właśnie nią zajmuje się nowy program.

Państwo dołącza do Allegro i firm księgowych

W polskim biznesie płatne zgłaszanie luk nie jest nowością. Własne programy prowadziły w przeszłości m.in. Allegro, Shoper i Pyszne.pl. Jak opisywał serwis aleBank.pl, firma księgowa inFakt uruchomiła taki program jeszcze w 2019 r. i za błędy krytyczne, na przykład dające nieuprawniony dostęp do baz danych, wyceniała nagrody od 3000 zł.

Na tym tle stawka państwa jest wyraźnie wyższa, a cała pula 1 mln zł wystarczyłaby na 50 nagród w maksymalnej wysokości. Jeśli test się powiedzie i program obejmie kolejne urzędy oraz samorządy, krąg systemów otwartych dla etycznych hakerów będzie się poszerzał.

Dla przedsiębiorców stawka jest praktyczna. Przez gov.pl firmy załatwiają wiele spraw urzędowych, a każda luka wykryta i załatana w ramach programu to jedna furtka mniej dla napastników, którzy według CERT Polska coraz częściej powierzają szukanie błędów automatom.