GOOGLE PAGO $ 12 MILLONES EN RECOMPENSAS POR ERRORES A INVESTIGADORES DE SEGURIDAD

El año pasado, Google pagó su mayor recompensa por errores a través del Programa de Recompensa de Vulnerabilidad por un informe de cadena de explotación crítica que la compañía valoró en $ 605,000.

En total, Google gastó más de $12 millones en más de 2900 vulnerabilidades en sus productos descubiertas e informadas por investigadores de seguridad.

Recompensas de errores de Android

Google publicó las estadísticas de los Programas de Recompensa de Vulnerabilidad (VRP) en 2022, brindando una descripción general de cómo la comunidad de investigación de seguridad contribuyó a hacer que los productos de la compañía fueran más seguros.

El mayor pago fue por un informe que detallaba una cadena de explotación de cinco errores (CVE-2022-20427, CVE-2022-20428, CVE-2022-20454, CVE-2022-20459, CVE-2022-20460) en Android presentado por gzobqq , que fue recompensado con $ 605,000.

En 2021, el mismo investigador descubrió e informó sobre otra cadena de explotación crítica en Android y recibió 157 000 dólares, la mayor recompensa por errores en la historia de VRP de Android en ese momento.

Por lo general, la recompensa por las vulnerabilidades de Android enviadas a través de Google VRP es de hasta $ 10,000, pero para las cadenas de explotación, la empresa paga hasta $ 1 millón.

En 2022, Google pagó 4,8 millones de dólares en recompensas por cientos de errores de Android. Los principales investigadores que informaron la mayoría de las vulnerabilidades son:

• Aman Pandey de  Bugsmirror  – más de 200 errores
• Zinuo Han  de OPPO Amber Security Lab – 150 errores
• Yu-Cheng Lin  : casi 100 errores

Google también otorgó $ 486,000 el año pasado por 700 informes de seguridad a través del Programa de recompensas de seguridad de chipset de Android (ACSRP) solo por invitación, un programa de recompensa privado que Google ofrece en colaboración con los fabricantes de chipsets de Android.

Recompensas de Chrome y OSS

La empresa también pagó un total de 4 millones de dólares en 2022 por 363 vulnerabilidades en el navegador Chrome y 110 problemas de seguridad en ChromeOS.

Google anunció que este año Chrome VRP comenzará a experimentar y puede ofrecer oportunidades adicionales para problemas de seguridad informados en el navegador y ChromeOS.

El  programa de recompensas para productos de código abierto  que Google lanzó en agosto de 2022 premió a más de 100 cazadores de errores con más de $ 110,000.

Además de las recompensas pagadas a los investigadores, Google también otorgó más de $250 000 en subvenciones a más de 170 investigadores. Estos fondos son para personas que vigilan los productos y servicios de Google, incluso si no encuentran ninguna vulnerabilidad.

En 2022, Google pagó a 703 investigadores por los informes presentados a través de los Programas de recompensas por vulnerabilidad y fue patrocinador de las conferencias relacionadas con la seguridad NahamCon y BountyCon.