BI.ZONE Bug Bounty - легальная площадка для багхантеров, но не стабильный заработок - отзывы и подводные камни

BI.ZONE Bug Bounty показывает на главной программы "до 10 000 000 рублей" за найденные уязвимости в мессенджере, продуктах крупных ИТ-компаний и госсервисах. Я прочитал пользовательское соглашение для исследователей, FAQ, открытые отчеты и рейтинг, поискал отзывы и жалобы багхантеров. Сразу скажу: это не схема и не "заработок без вложений", а настоящая площадка известной компании по кибербезопасности. Но цифра на баннере - потолок, а не тариф.

Кто стоит за платформой

Оператор - ООО "Безопасная информационная зона", ОГРН 1167746317210, компания зарегистрирована в 2016 году. Платформа внесена в реестр отечественного ПО, программы на ней держат банки, маркетплейсы, ИТ-компании и регионы. По данным, которые продуктовый руководитель площадки приводил отраслевому изданию, в 2025 году исследователям выплатили около 100 млн рублей примерно за 2 500 принятых отчетов, средняя выплата - 40 тысяч.

Почему доход непредсказуем

Деньги получает только тот, кто первым прислал отчет о реальной уязвимости. Второй с той же находкой - дубликат и ноль. В списке последних десяти отчетов, который я открыл, у четырех выплата 0 рублей. Среди открытых находок есть награды и в 1 000 рублей, и в 264 000 - все решает критичность.

Конкуренция плотная. Лидер рейтинга за все время заработал 19,2 млн рублей на 288 отчетах, второй - 9,7 млн на 349. Это годы работы профессионалов, и новичок соревнуется именно с ними. На конкурирующей площадке, по ее годовому отчету, из 7 870 присланных отчетов приняли 2 909 - меньше 40%.

Правила, которые легко нарушить

• Размер награды "не является фиксированным" и может быть изменен или отменен компанией или платформой в одностороннем порядке.
• Баги вне скоупа могут не оплатить, за теоретическую возможность атаки не платят вовсе.
• Запрещены DDoS, социальная инженерия, разрушающие проверки и рассказ об уязвимости до разрешения компании. Шаг за рамки программы - уже не багбаунти, а взлом.
• Для части программ обязателен VPN платформы, а трафик исследователя платформа вправе записывать и передавать компании.

Налоги и комиссия

Для исследователей - физических лиц соглашение предусматривает лицензионное вознаграждение платформе 33% от каждой награды, и оно удерживается из выплаты. Условный пример, не прогноз: из награды 10 000 рублей на руки придет меньше 6 700, потому что сумма к тому же включает НДФЛ. Неудивительно, что FAQ прямо советует оформиться самозанятым или ИП. Выплата приходит через сервис "Консоль" в течение 30 дней после решения.

Отзывы и жалобы

Публичных жалоб на невыплату я не нашел, хотя искал и в новостях, и в блогах на технических порталах. Для споров с компаниями есть поддержка, которая выступает арбитром. Но нет и гарантий: решение о выплате остается за компанией и платформой.

Кому туда идти, а кому нет

Специалисту по веб-безопасности с опытом это честный и легальный способ подработать и прокачать репутацию. Новичку, который ищет стабильный доход, - нет: месяцы без принятых отчетов здесь норма. Регистрация доступна только с 18 лет и гражданам России или ЕАЭС.