Ngày 07/3/2025, Google đã công bố sẽ trao 11,8 triệu USD tiền thưởng cho 660 nhà nghiên cứu đã báo cáo lỗ hổng bảo mật thông qua các chương trình Bug Bounty của công ty vào năm 2024.

Bản tin video An toàn thông tin số 142 gồm các tin sau: Hai diễn đàn tấn công mạng lớn nhất thế giới bị đánh sập; Mã độc mới trên IPhone có khả năng đánh cắp dữ liệu từ ảnh; Tường lửa của Fortinet bị xâm nhập; Năm 2024: Meta chi hơn 2,3 triệu USD tiền thưởng cho Bug Bounty và Google trình làng mô hình AI mạnh nhất tới người dùng.

Apple đã tạo ra môi trường nghiên cứu ảo (VRE) để cho phép mọi người truy cập vào với mục đích thử nghiệm tính bảo mật của hệ thống Private Cloud Compute (PCC) và phát hành mã nguồn cho một số “thành phần chính” để giúp các nhà nghiên cứu phân tích các tính năng riêng tư và an toàn trên kiến trúc.

Thời gian gần đây, lĩnh vực an toàn thông tin ghi nhận hình thức bảo mật Bug Bounty đang ngày càng nở rộ. Tuy nhiên, bên cạnh những số liệu khủng về giải thưởng, lỗ hổng được phát hiện, vẫn có những ý kiến trái chiều về hiệu quả thực sự mà Bug Bounty đem lại cho các tổ chức, doanh nghiệp.

Các chương trình Bug Bounty (Săn lỗi nhận thưởng) từ nguồn lực cộng đồng đang là hình thức tìm kiếm lỗ hổng được một số tổ chức, doanh nghiệp (TC/DN) cân nhắc tham gia, nhằm nâng cao vị thế tình trạng bảo mật. Bài viết dưới đây sẽ trình bày hai ý kiến tích cực và tiêu cực về chương trình này của hai nhà nghiên cứu bảo mật tại Mỹ: Một người cho rằng việc tận dụng nguồn lực cộng đồng sẽ khiến không gian mạng được an toàn hơn, một người lại cho rằng nguồn lực cộng đồng là lãng phí, không mang lại hiệu quả và thiếu tài năng.

Tại Việt Nam, hiện nay có khá nhiều người tham gia Bug Bounty và tìm kiếm lỗ hổng của các hãng bảo mật, hãng phần mềm trên thế giới trong nhiều năm. Hầu hết, các chương trình tìm kiếm được lỗ hổng là của các hãng phần mềm, các nền tảng Bug Bounty trên thế giới. Đã có nhiều chuyên gia bảo mật tại Việt Nam lọt vào top cao tại các bảng xếp hạng về số lượng lỗ hổng, cũng như tính nghiêm trọng của lỗ hổng tìm được của các nền tảng đó.

Nền tảng tìm kiếm lỗ hổng bảo mật (Bug bounty) đã không còn là mô hình kết nối cộng đồng xa lạ tại các quốc gia trên thế giới trong lĩnh vực bảo mật và an toàn thông tin (ATTT). Với hình thức đa dạng, các nền tảng đã thu hút nhiều tổ chức, cá nhân tham gia với giá trị tiền thưởng lớn.

Công ty An ninh mạng Viettel chính thức ra mắt nền tảng tìm kiếm lỗ hổng bảo mật SafeVuln. Với cam kết công khai - minh bạch - trách nhiệm, SafeVuln hứa hẹn sẽ trở thành sân chơi hàng đầu cho các chuyên gia an toàn thông tin và tổ chức/doanh nghiệp.

Mới đây, các nhà nghiên cứu của hãng Bảo mật mạng CheckPoint đã phát hiện ra lỗ hổng nghiêm trọng trong hàng triệu máy in văn phòng HP OfficeJet, cho phép kẻ tấn công chiếm quyền kiểm soát các máy in và sử dụng chúng như một công cụ để tấn công vào hệ thống mạng mà chúng đang kết nối.

Mới đây, nhà nghiên cứu Karan Saini, người Ấn Độ đã phát hiện ra lỗ hổng bảo mật quan trọng trong giao thức xác thực hai yếu tố (2FA) của Uber. Tuy nhiên, hãng này không có kế hoạch khắc phục, vì cho rằng đây không phải là “một báo cáo đặc biệt nghiêm trọng”.