Scovare un bug di sicurezza sui dispositivi Apple può farti incassare fino a 5 milioni di dollari

Apple ha rivisto il programma Security Bounty, la piattaforma che premia i ricercatori di sicurezza che individuano falle di sicurezza nei suoi sistemi. A partire da novembre, i compensi verranno significativamente aumentati, con il premio massimo raddoppiato a 2 milioni di dollari, che potrà superare i 5 milioni grazie a bonus aggiuntivi per vulnerabilità particolarmente critiche, come quelle capaci di aggirare la Lockdown Mode o di compromettere versioni beta di iOS e macOS.

Dal lancio del programma nel 2020, Apple ha già distribuito oltre 35 milioni di dollari a più di 800 ricercatori, con alcune singole segnalazioni premiate con cifre fino a 500.000 dollari. Con la nuova struttura, l'azienda mira a incentivare ricerche sempre più complesse, capaci di anticipare le tecniche impiegate dai più avanzati gruppi di cyber-spionaggio.

Il programma ora coprirà un numero maggiore di superfici d'attacco, includendo scenari come exploit wireless di prossimità, vulnerabilità di WebKit e bypass completi di Gatekeeper su macOS.

Tra i nuovi importi massimi:

• 2 milioni di dollari per exploit "zero-click", cioè senza interazione dell'utente;
• 1 milione per attacchi "one-click" o per accessi non autorizzati su larga scala a iCloud (mai dimostrati finora);
• 1 milione per exploit wireless di prossimità;
• 500.000 dollari per attacchi che richiedono accesso fisico al dispositivo o per evasioni della sandbox delle app;
• 100.000 dollari per un bypass completo di Gatekeeper

Apple introdurrà inoltre le Target Flags, un sistema di "bandiere" che consente ai ricercatori di dimostrare oggettivamente la gravità e l'impatto di un exploit. Queste flag, integrate nei sistemi operativi, permetteranno un'elaborazione accelerata delle ricompense: una volta verificato il risultato, il pagamento potrà avvenire anche prima che la correzione venga rilasciata.

L'aggiornamento del programma si inserisce in un contesto in cui le uniche minacce di livello "sistema" osservate da Apple in ambienti reali provengono da spyware mercenario, sviluppato con investimenti milionari e impiegato contro un numero limitato di individui di alto profilo. Le più recenti tecnologie di difesa - come la Memory Integrity Enforcement e la Lockdown Mode - hanno reso questi attacchi molto più costosi e complessi da realizzare.

Proprio per questo Apple punta a premiare chi riesce a riprodurre catene di exploit realistiche, in grado di simulare minacce concrete, con un sistema di valutazione che privilegia vulnerabilità verificabili e complete exploit chain rispetto ai bug teorici o isolati.

Oltre ai nuovi premi, Apple ha annunciato che nel 2026 distribuirà 1.000 iPhone 17 - dotati di Memory Integrity Enforcement - a organizzazioni della società civile impegnate nella protezione di utenti a rischio, come giornalisti o attivisti. Parallelamente, il Security Research Device Program verrà esteso ai nuovi modelli di iPhone, permettendo ai ricercatori qualificati di ottenere dispositivi dedicati alla ricerca di vulnerabilità.