Milion złotych za luki w GOV.PL i mSzyfrze: NASK i CERT ruszyły z bug bounty. Kto może zgłaszać

CERT Polska i NASK uruchomiły państwową platformę bug bounty na hack.cert.pl. W puli jest milion złotych, a za jedną potwierdzoną podatność badacz może dostać nawet 20 tys. zł. Na start w konkursach są m.in. portal GOV.PL, komunikator mSzyfr oraz serwisy NASK, CERT Polska i gminy Władysławowo.

Co to jest i dlaczego to ważne

Bug bounty to zaproszenie dla etycznych badaczy bezpieczeństwa: legalnie testujesz wskazane systemy według regulaminu, a za wykrytą i potwierdzoną lukę dostajesz nagrodę. Firmy prywatne (Google, Microsoft) robią to od lat. Polska administracja idzie teraz podobną drogą – i to na własnej platformie, bez komercyjnych pośredników. Zgłoszenia i komunikacja zostają w infrastrukturze CERT Polska / NASK.

To nie tylko „nagroda za haka”. Liczba podatności obsłużonych przez CERT Polska wzrosła w trzy lata o ponad 300%. Im szybciej luka trafi do właściciela systemu i zostanie załatana, tym mniejsze ryzyko, że wykorzystają ją przestępcy przeciwko obywatelom korzystającym z e-usług.

Które systemy są na start

Od 3 listopada 2026 r. na hack.cert.pl dostępnych jest pięć konkursów obejmujących:

• portal GOV.PL,
• komunikator mSzyfr (bezpieczna komunikacja MC / NASK),
• serwisy NASK i CERT Polska,
• serwisy gminy Władysławowo (przykład samorządu).

Zakres obejmuje różne typy systemów: od dużych usług centralnych, przez narzędzia cyberbezpieczeństwa, po lokalne witryny. Kolejne instytucje publiczne mogą dołączać. Przykładowo konkurs mSzyfr (edycja 11/2026) przyjmuje zgłoszenia do 30 listopada 2026 i obejmuje domeny w zakresie wskazanym w regulaminie na platformie.

Ile można zarobić

Łączna pula nagród to 1 mln zł. Wysokość pojedynczej nagrody zależy od krytyczności (skala CVSS) potwierdzonej podatności – od kilkuset złotych do 20 000 zł za lukę krytyczną. W konkursie mSzyfr tabela wygląda m.in. tak: niska 600 zł, średnia 4000 zł, wysoka 9000 zł, krytyczna 20 000 zł (pula tego konkursu: 100 000 zł).

Program ma formułę konkursową: organizator rozlicza zryczałtowany podatek od nagrody, więc uczestnik nie musi samodzielnie rozliczać podatku dochodowego od wypłaty. Nagrody trafiają na polski rachunek bankowy.

Kto może wziąć udział

• osoba pełnoletnia (18+),
• z numerem PESEL i polską rezydencją podatkową,
• wskazująca polski rachunek bankowy do wypłaty.

W kolejnych etapach NASK planuje rozszerzenie na osoby 16–18 lat za zgodą opiekuna. Testy trzeba prowadzić zgodnie z regulaminem konkretnego konkursu (m.in. własne konta, limity skanowania, zakaz ataków poza zakresem). To nie jest „wolna amerykanka” – poza dozwolonym zakresem możesz złamać prawo.

Co z tego mają zwykli użytkownicy GOV.PL i mSzyfr

Nawet jeśli nie jesteś badaczem, program działa na Twoją korzyść. Niezależne oczy sprawdzają systemy, z których logujesz się do urzędu, składają wnioski albo piszesz w mSzyfrze. Luki są zgłaszane bezpiecznym kanałem, oceniane przez CERT Polska i przekazywane właścicielowi do naprawy – zanim ktoś wykorzysta je do phishingu, przejęcia konta czy wycieku danych.

Jeśli sam znajdziesz podejrzaną lukę poza konkursem albo dostaniesz phishing podszywający się pod GOV.PL / CERT, zgłoś to na incydent.cert.pl. Bug bounty nie zastępuje zgłaszania oszustw – uzupełnia je o legalne, płatne testy wskazanych systemów.

Jak zacząć

1. Wejdź na hack.cert.pl i przeczytaj FAQ oraz regulamin platformy.
2. Wybierz konkurs (np. GOV.PL, mSzyfr) i zapoznaj się z zakresem domen oraz wykluczeniami.
3. Załóż konto, zaakceptuj regulamin konkursu i zgłaszaj tylko to, co jest w zakresie.
4. Czekaj na ocenę analityków CERT – decyzja komisji jest ostateczna; przy równoległych zgłoszeniach tej samej luki wygrywa pierwsze poprawne.

Dla polskich pentesterów, studentów cybersecurity i freelancerów to konkretna okazja: legalny zakres, krajowa platforma i realne pieniądze za potwierdzone błędy w systemach, z których korzystają miliony obywateli.

Źródło: CERT Polska – program bug bounty dla administracji publicznej, CERT 207/2026, NASK – komunikat o platformie, hack.cert.pl

Artykuł zredagowany przy pomocy AI.