«Бизнес зачастую просто не в курсе, что существуют услуги белых хакеров»

Уйдут ли специалисты по поиску уязвимостей с принятием нового регулирования в тень

Спрос на услуги белых хакеров растет на 18% в год, при этом общий уровень киберзащищенности, особенно у малого и среднего бизнеса, остается низким. Зачем этичным хакерам создавать отраслевые комьюнити и являются ли они самыми высокооплачиваемыми ИБ-специалистами на рынке, читателям RSpectr рассказал основатель и генеральный директор агентства белых хакеров Singleton Security Егор Богомолов.

О СЕБЕ И СРЕДЕ

– Не так давно председатель правительства Михаил Мишустин усомнился в корректности термина «белый хакер» и предложил свой вариант – специалист по анализу устойчивости и безопасности информационных систем. Как вы оцениваете эту инициативу?

– На мой взгляд, это не очень правильное и органичное решение. Можно рассматривать какие-либо альтернативы, но у рынка уже сложилась норма, и ее нужно законодательно закреплять. Бороться и «переламывать» ее не имеет смысла, она все равно будет присутствовать и в рекламе, и в отраслевом комьюнити. Тем более, термин «белый хакер» понятнее обычным людям.

– Как вы пришли к этичному хакингу? Какими личностными качествами должен обладать специалист по поиску уязвимостей?

– Я заинтересовался этичным хакингом еще в университете: принимал участие в открытых турнирах и платформах. Думал об этом и раньше, но не смог найти способы, где это можно «пощупать». Потом познакомился с парой ребят, и, как говорится, понеслось.

По моему мнению, такой специалист должен быть любопытным, настойчивым, трудолюбивым и сосредоточенным. Если есть это, то остальное приложится.

СПРАВКА

Егор Богомолов

генеральный директор агентства белых хакеров Singleton Security

• В 2015 году окончил бакалавриат в Российском государственном гуманитарном университете (РГГУ) на факультете информационных систем и безопасности по направлению «Комплексная защита объектов информатизации». В 2017 году окончил магистратуру в Московском техническом университете связи и информатики (МТУСИ) на факультете информационных технологий по направлению «Программная защита информации».
• С 2016 года работал в российских и международных ИБ-компаниях, в том числе Positive Technologies, «Информзащита», BI.ZONE в сферах разработки, аналитики и тестирования на проникновение.
• В 2021 году основал агентство белых хакеров Singleton Security.
• В 2022 году стал сооснователем компании CyberEd, которая в 2023 году вошла в состав фонда результативной кибербезопасности Cyberus.

– Почему вы решили организовать Singleton Security? Для чего вообще белым хакерам нужно объединяться, ведь обычно они действуют поодиночке?

– Агентство белых хакеров было создано для того, чтобы организовать определенное окружение: профессиональное, культурное, со своими целями, которое могло бы дать что-то новое людям и существовало бы на очень долгой дистанции. На протяжении всего моего опыта работы в различных хакерских подразделениях они постоянно рассыпались, менялись их участники. Мне хотелось создать команду, которая буквально живет «большим марафоном», развивает и усиливает свою экспертизу и личный бренд. Это по сути компания победивших хакеров, где все построено вокруг хакеров. И нам это, считаю, удалось.

Также в этом объединении можно поделиться опытом, разделить общие ценности, создать среду развития для равных. При этом нужно было убрать лишнюю бюрократию и сформировать среду профессионального роста. Агентство – это некий инкубатор, куда не проникает вредоносная среда.

О ДЕНЬГАХ И УЧЕБЕ

– Действительно ли заработок белых хакеров в разы выше, чем классических ИБ-специалистов? Каков разброс по нему?

– Да, у обычных специалистов по кибербезопасности заработок достаточно «приземленный» и варьируется в промежутке от 200 тыс. до 400 тыс. рублей.

У хакеров вознаграждение выше, потому что они зачастую являются выдающимися личностями и крепкими профессионалами своего дела. Кроме того, у них есть очень много способов дополнительного заработка, что менее доступно для обычных ИБ-специалистов. Хакеры чаще берутся за подработки, аудиты, багбаунти и кибериспытания.

Базовые зарплаты белых хакеров составляют от 200 тыс. до 600 тыс. рублей, плюс от 2 млн до 10 млн рублей в год они зарабатывают за счет сторонних активностей.

– Интересно ли вам, в том числе и финансово, участвовать в багбаунти? Некоторые хакеры признаются, что вознаграждения на таких платформах ниже, чем за участие в проектных заказах.

– Мне это было не особо интересно, поскольку всегда присутствовало довольно много подработок. Платформа багбаунти – это площадка для определенного психотипа хакеров, которым интересен такой подход. В них участвуют сотни людей, и их число растет в РФ с каждым годом.

Доход на багбаунти сопоставим с проектным и иногда даже превосходит его. Обычно проектный заработок у этичного хакера составляет от 2 млн до 4 млн рублей в год, на платформе специалист может получить вознаграждение в несколько десятков миллионов рублей.

– Вы также являетесь главой образовательного центра по кибербезопасности CyberEd. Насколько востребован курс обучения этичному хакингу? Каких успехов после него добиваются выпускники?

– Red Team (команда ИБ-специалистов, которая имитирует действия злоумышленников) как направление является самым популярным у обучающихся кибербезопасности. В него вовлекаются как инженеры, так и будущие белые хакеры, а также люди, которые просто хотят изучить что-то новое для себя. Поэтому этичный хакинг мы считаем флагманским продуктом в нашем учебном центре.

Поскольку цели у студентов разные, они добиваются разных успехов после окончания обучения на курсах. Например, некоторые попадают в сильнейшие российские команды, такие как «Лаборатория Касперского» и BI.ZONE.

О ЧИСЛЕ БЕЛЫХ ХАКЕРОВ И СПРОСЕ НА УСЛУГИ

– Законопроект о легализации белых хакеров был отклонен в первом чтении летом этого года и до сих пор находится на этапе обсуждения. Каких изменений вы ожидаете после его принятия?

– Вероятнее всего, идет детализация законопроекта, для того чтобы более контролируемо управлять рядом процессов внутри деятельности белых хакеров, например, багбаунти, работой с уязвимостями и выдачей результатов по ним.

Ждать поблажек не приходится, скорее, это проект по «закручиванию гаек», который необходим для того, чтобы выполнять деятельность по защите интересов государства. Этот законопроект пришел не из индустрии, а был «спущен сверху».

– В России обсуждается возможность создания государственного реестра белых хакеров. Каково ваше мнение по этому вопросу? Как вы оцениваете суммарно число российских белых хакеров? Сколько среди них иностранцев?

– Если законопроект о белых хакерах будет принят, то такой реестр будет необходим. Ничего хорошего в нем не вижу, это уменьшит желание специалистов прикасаться к легализации в целом.

Число хакеров, которые работают на внешний рынок, не превышает 500-700 человек. Есть еще специалисты, которые трудятся внутри компаний, их сложно посчитать, по моим оценкам, не больше 1,5 тыс. человек. Иностранцев очень мало: те, кто у нас учится и участвует в багбаунти-платформах, всего десятки человек.

– С мая 2025 года кратно выросла административная ответственность бизнеса за утечки персональных данных, вплоть до оборотных штрафов. Некоторые ИБ-эксперты предупреждали, что злоумышленники очень ждали принятия этих изменений, чтобы получить возможность шантажировать компании, ведь выкуп может обойтись дешевле штрафа, не говоря уже о возможном тюремном заключении директора по ИБ. Стали ли хакеры предлагать выкуп за неопубликованные данные об утечках?

– Действительно, злоумышленники вымогают вознаграждения даже в случаях, если не крали данные. Аферисты просят деньги за выкуп расшифровки, за то, что не будут доносить и запускать инфоповоды в СМИ об утечке. Это становится определенным механизмом торга, сумма оборотных штрафов может напугать акционера, и он решится заплатить злоумышленникам и скрыть ситуацию.

– После вступления в силу ряда законопроектов об ужесточении ответственности за утечки возрос ли интерес компаний к услугам белых хакеров? Если да, то насколько?

– Нет. Спрос на подобные услуги растет неплохими темпами, как и рынок ИБ в целом: 18% год к году. Однако бизнес зачастую просто не в курсе, что существуют услуги белых хакеров, поэтому рост этого сегмента рынка очень умеренный, не кратный.

ОБ ИБ-ЗРЕЛОСТИ И БУДУЩЕМ ЭТИЧНОГО ХАКИНГА

– Хорошо налаженная киберзащита обходится недешево. Что делать среднему и малому бизнесу при защите от утечек, если средств, как обычно, не хватает?

– У малого бизнеса и ломать-то особо нечего. Скорее, речь идет о личной безопасности собственника, которая обеспечивается банальной цифровой гигиеной. И ее он вполне может изучить самостоятельно.

А вот среднему бизнесу есть что терять: и развернутые инфраструктуры, и мощности. Бюджет на информационную безопасность у таких компаний исчисляется от нескольких до десятков миллионов рублей, и на эту сумму уже можно нанять хороший профессиональный коллектив ИБ-специалистов. Тут важно начать этот процесс с консалтинга, а далее уже можно принимать решение о том, как строить свою безопасность.

– Замечаете ли вы повышение общего уровня информационной безопасности российских организаций?

– По росту рынка кибербезопасности можно отследить и уровень информбезопасности. Пока он является очень низким, буквально первые CISO в стране уходят на пенсию, в отличие от стран, которые начали заниматься кибербезом в 1990-х годах. Полагаю, что в течение ближайших 20 лет появится уже и второе поколение директоров по ИБ, которое будет более подкованным в части вызовов. И вот тогда уже можно будет говорить о настоящей зрелости в этом вопросе.

– Каким бы видите будущее этичного хакинга в ближайшие годы?

– Есть несколько возможных вариантов развития. Например, белый хакинг может стать новой «Формулой -1», где есть свои легенды, которых крупные компании покупают в свои команды за баснословные вознаграждения.

В более приземленном варианте этичный хакинг будет эволюционно развиваться и все более перетекать в военную сферу, поскольку самый большой заказчик в части информационной безопасности – это государство.

Изображение: фонд Cyberus