Sono anni che seguo su Linedin red team, penetration test, conferenze di cybersecurity e divulgazione. E c’è una domanda che mi viene rivolta immancabilmente, sia dagli studenti universitari che dagli amici: “Ma è vero che con il Bug Bounty gli hacker si comprano la Lamborghini a vent’anni?”.
La risposta breve è dipende…ì, è teoricamente possibile. La risposta lunga, quella che vi racconto oggi da Penetration Tester e divulgatore, è che la realtà è molto più complessa, sudata e spesso frustrante di quanto raccontino i “guru” dei social media. Oggi smontiamo i miti e guardiamo in faccia i numeri, le dinamiche e il lato oscuro di questa professione.
L’economia del Bug Bounty: Come funziona davvero
Prima di parlare di cifre, dobbiamo chiarire un concetto fondamentale. Il Bug Bounty non è uno stipendio. Non c’è un contratto, non c’è una tredicesima, non c’è la malattia pagata. È una gig economy spietata basata sulla meritocrazia assoluta: vieni pagato esclusivamente per il valore e la severità della vulnerabilità che trovi. Se non trovi nulla, o se trovi qualcosa che l’azienda considera a basso rischio, il tuo guadagno è zero.
Le piattaforme come HackerOne, Bugcrowd, Intigriti o YesWeHack fanno da intermediarie tra le aziende (che vogliono proteggere i loro asset) e i ricercatori (i cosiddetti whitehat o bug hunter). Ma quanto pagano queste aziende?
Le fasce di guadagno: dai “Low” ai “Whale”
I payout (le ricompense) variano drasticamente in base alla piattaforma, all’azienda e alla severità del bug. Possiamo dividere il mercato in tre macro-categorie:
1. La fascia bassa e media (Il “Grind”) Qui troviamo vulnerabilità come XSS (Cross-Site Scripting) riflessi, CSRF, o IDOR (Insecure Direct Object References) che permettono di leggere dati di altri utenti ma senza un impatto critico. Le ricompense per queste segnalazioni si aggirano solitamente tra i 50$ e i 500$. Cosa ci fai con 100$? Ci paghi la cena o l’abbonamento mensile a qualche tool. Il problema di questa fascia è il rapporto tempo/guadagno: potreste impiegare tre giorni per trovare un bug da 150$. Matematicamente, state guadagnando meno del salario minimo.
2. La fascia alta e critica (Il “Sweet Spot”) Qui si entra nel vivo. Parliamo di Remote Code Execution (RCE), SQL Injection su database di produzione, bypass di autenticazione o SSRF che permettono di accedere ai metadati del cloud (AWS/GCP). Per queste vulnerabilità, le aziende serie pagano tra i 1.000$ e i 10.000$ per singola segnalazione. È in questa fascia che molti hunter riescono a generare un’entrata mensile dignitosa, paragonabile a uno stipendio da senior security engineer, ma richiede una conoscenza tecnica profonda e un metodo di ricerca strutturato.
3. I “Whale” e le Chain Complesse (L’Elite) Colossi come Apple, Google, Microsoft o Tesla offrono programmi con bounty che partono da 10.000$ e possono superare i 100.000$. Ma attenzione: non vi pagano 50.000$ per un semplice XSS. Vi pagano quella cifra se trovate una “chain” (una catena) di exploit complessa, magari una zero-click exploit su iOS, o una vulnerabilità che permette di prendere il controllo di un’intera infrastruttura cloud. A contendersi questi premi ci sono i top player mondiali, team di ricerca interi e geni della crittografia. È il campionato di Serie A.
Il lato oscuro: “Duplicate”, “N/A” e il Survivorship Bias
Quello che i social media non vi mostrano è il tasso di frustrazione. Su Twitter o LinkedIn vedete solo i post di chi ha incassato 15.000$. Nessuno posta le foto del proprio report rifiutato. Nel Bug Bounty vige la regola del “First to find” (il primo ad arrivare). Potete passare due settimane a studiare un’applicazione bancaria, reverse-engineering del codice, scrivendo un exploit perfetto, e inviare il report. La risposta del team di triage? “Duplicate”. Qualcuno, da un’altra parte del mondo, l’ha trovata 14 minuti prima di voi. Risultato: zero dollari, zero gloria, e la voglia di spaccare la tastiera.
Altro esito comune è “Informative” o “N/A”. Avete trovato un comportamento strano, lo segnalate, e l’azienda vi risponde: “Non è un rischio per il nostro business”. Questo porta a un fenomeno psicologico noto come Survivorship Bias (bias di sopravvivenza). I neofiti vedono i successi dei top hunter e pensano che sia facile. La realtà è che i top hunter lavorano 60 ore a settimana, leggono montagne di codice, e accettano che l’80% del loro tempo venga sprecato in vicoli ciechi.
La questione fiscale: non è tutto oro quel che luccica
Parliamoci chiaro, specialmente per noi in Italia. Se iniziate a guadagnare 3.000$ al mese con HackerOne, non vi state comprando la Ferrari. Dovete aprire la Partita IVA, iscrivervi alla Gestione Separata INPS, pagare le tasse in Italia e gestire la fatturazione estera. Tra commercialista, INPS e IRPEF, dello splendore di quel bounty vi rimane in tasca poco più della metà. Il Bug Bounty, fiscalmente parlando, è un’attività d’impresa a tutti gli effetti, con tutti gli oneri burocratici che ne conseguono nel nostro Bel Paese.
Il vero ROI: Perché lo facciamo allora?
Se è così difficile, frustrante e tassato, perché migliaia di hacker passano le notti a caccia di bug? Perché il vero ritorno sull’investimento (ROI) del Bug Bounty non sono i soldi.
- Imparate sul campo: Nessuna certificazione o corso universitario vi insegnerà a pensare come un attaccante quanto un report “Duplicate” che vi costringe a studiare perché il vostro exploit non era abbastanza buono.
- Il Portfolio è il vostro CV: Nel nostro settore, a nessuno importa davvero del vostro voto di laurea. Se avete un profilo HackerOne nella top 5%, o se avete trovato bug critici per aziende della Fortune 500, i recruiter vi cercheranno su LinkedIn. Molti dei migliori penetration tester e CISO che conosco oggi hanno iniziato facendo bug bounty nel tempo libero.
- La thrill della caccia: C’è una componente ludica, quasi adrenalinica. Trovare un varco in un sistema difeso da milioni di dollari di tecnologie ti dà una soddisfazione intellettuale che pochi altri lavori possono eguagliare.
I miei consigli per chi vuole iniziare
Se state leggendo questo articolo e state pensando di mollare il vostro lavoro per fare i bug hunter a tempo pieno, fermatevi. Non fatelo. Il Bug Bounty è un eccellente side hustle (attività secondaria). Iniziate nel tempo libero, studiate su piattaforme come PortSwigger Web Security Academy, leggete i write-up (le analisi tecniche) degli altri hacker, e siate pazienti.
Non cercate i soldi facili. Cercate la conoscenza. I soldi, se sarete bravi, pazienti e resilienti, arriveranno come naturale conseguenza. Ma ricordate la regola d’oro di questo mestiere: Hack the planet, ma fatelo sempre con etica, rispetto per le regole d’ingaggio (scope) e una dose massiccia di umiltà.
Ci vediamo in trincea. E ricordate: il prossimo bug potrebbe essere proprio dietro l’angolo, o potrebbe richiedere altri sei mesi di ricerca. Nel dubbio, continuate a studiare.
