Apple ha elevado la recompensa máxima de su programa Apple Security Bounty a 2 millones de dólares. Con bonificaciones, un informe excepcional puede superar los 5 millones. La cifra, sin embargo, no corresponde a cualquier error: exige demostrar una cadena de ataque comparable a las utilizadas por programas espía avanzados.
Qué exige la recompensa de 2 millones
La categoría principal contempla un ataque remoto que parta de un identificador, como un número de teléfono o un correo electrónico, no requiera ninguna acción de la víctima y consiga controlar el kernel del dispositivo. Es el tipo de ataque conocido como zero click: una cadena de vulnerabilidades capaz de atravesar varias defensas sin que el usuario abra un enlace o instale una aplicación.
Apple también establece recompensas máximas para otros resultados demostrables:
- 1 millón de dólares por alcanzar el kernel mediante un ataque de red con interacción del usuario.
- 1 millón por comprometer el procesador de aplicaciones a través de componentes de radio diseñados por Apple.
- Hasta 500.000 dólares por acceder físicamente a datos sensibles o escapar del sandbox de una aplicación hasta el kernel.
- Hasta 300.000 dólares por escapar del sandbox de WebKit con un solo clic.
Cómo puede superarse el límite de 5 millones
Un fallo exclusivo de una versión beta puede añadir un 50 % a la recompensa. Eludir las protecciones específicas del Modo de Aislamiento puede sumar un 100 %, y combinar ambas condiciones eleva la bonificación al 150 %. Aplicada al máximo de 2 millones, esta última opción alcanza 5 millones. Apple puede conceder una cantidad adicional por investigaciones especialmente novedosas, de ahí que el techo potencial sea superior.
No basta con comunicar un fallo
Para optar a una recompensa, el investigador debe ser el primero en presentar a Apple un informe completo y aplicable. Debe afectar a versiones actuales, incluir una forma fiable de reproducir el problema y aportar un exploit funcional o una prueba de concepto. En ciertas categorías se exigen Target Flags, marcadores que confirman el nivel de control alcanzado. Las directrices oficiales también obligan a mantener la vulnerabilidad en secreto hasta que Apple publique la corrección.
Este proceso encaja con la divulgación coordinada y el hacking ético: investigar con autorización, documentar el impacto y facilitar la solución antes de hacer público el fallo. ITRES también dispone de un canal de comunicación de vulnerabilidades para sus propios activos y su comunidad.
Por qué Apple eleva las recompensas
Desde la apertura pública del programa en 2020, Apple afirma haber entregado más de 35 millones de dólares a más de 800 investigadores. Las nuevas cuantías buscan atraer trabajos verificables sobre ataques que cuestan millones de dólares y que suelen asociarse al spyware mercenario dirigido contra objetivos concretos.
Preguntas frecuentes
¿Encontrar una vulnerabilidad garantiza el pago?
No. Apple evalúa el impacto, la calidad del informe, la posibilidad de reproducirlo y el cumplimiento de las condiciones. La concesión y la cuantía quedan a su discreción.
¿Puede publicarse el fallo antes de que Apple lo corrija?
No si se pretende optar a la recompensa. La divulgación pública antes de que exista una actualización y un aviso de seguridad hace que el informe deje de ser elegible.
Una inversión en seguridad preventiva
El programa convierte el conocimiento de investigadores independientes en una vía controlada para descubrir fallos antes de que los exploten actores maliciosos. Las cifras llaman la atención, pero el elemento decisivo es la investigación técnica demostrable y responsable.