Из QA в багхантеры: маршрут, инструменты и российские площадки для старта

Если вы тестируете ПО, у вас уже есть половина багхантерского набора: вы умеете разбираться в логике приложений, ломать сценарии, писать воспроизводимые шаги и документировать находки. Не хватает другой половины — умения искать не функциональные баги, а уязвимости, и превращать их в отчёты, за которые платят.

Хорошая новость: эта половина осваивается, а рынок для неё в России растёт очень быстро. В 2025 году только на двух ключевых площадках багхантеры заработали более 260 млн рублей, а 43 исследователя на Standoff получили за год больше миллиона каждый.

Кто такой багхантер и чем это отличается от QA

Багхантер — исследователь безопасности, который легально ищет уязвимости в сервисах компаний в рамках программ bug bounty («награда за баг»). Компания публикует правила и скоуп — перечень ресурсов, которые можно проверять.

Исследователь находит уязвимость, оформляет отчёт, платформа проверяет находку, разработчики её закрывают — а багхантер получает выплату.

Разница с тестированием принципиальная. QA ищет баги по чек-листу: знает, где ошибка должна быть, и проверяет там. Багхантер ищет то, чего в чек-листе нет: как заставить приложение вести себя так, как не предусмотрел разработчик. В этом смысле багхантинг — не продолжение, а эволюция тестировщика: от «проверить, что работает» к «доказать, что можно заставить работать не так».

Что из QA-опыта переносится напрямую:

● Понимание HTTP. DevTools, перехват запросов, работа с API — вы уже делаете это каждый день, просто с инструментами посерьёзнее.

● Тест-дизайн. Мысль «а что будет, если передать вот это вместо того» — суть фаззинга и проверки инъекций.

● Репортинг. Читаемый баг-репорт с шагами воспроизведения — ровно то, от чего зависит судьба отчёта на багбаунти-платформе. Здесь QA-навык даёт ощутимое преимущество: значительная часть отчётов отклоняется не потому, что бага нет, а потому, что его непонятно описали.

Чего не хватает: знаний про классы уязвимостей и условий эксплуатации, инструментов перехвата и модификации трафика, понимания, как приложения ломают на уровне аутентификации, сессий и логики доступа.

Маршрут: от первого отчёта до стабильного дохода

Шаг 1. Фундамент. Освойте OWASP Top 10 — перечень самых распространённых уязвимостей: XSS, SQL-инъекции, CSRF, IDOR, небезопасная десериализация. Это карта местности: именно на этих классах находится большинство находок новичков. Параллельно подтяните основы веб-технологий, если они просели: куки, заголовки, CORS, принципы аутентификации.

Шаг 2. Инструменты. Главный — Burp Suite: прокси для перехвата и модификации запросов между браузером и сервером. Бесплатной Community-версии на старте достаточно. В обойму также идут nmap (сканирование портов), sqlmap (автоматизация SQL-инъекций), ffuf (фаззинг), браузерные расширения типа Wappalyzer. Рабочая среда — Kali Linux с предустановленным пентест-набором, но подойдёт и обычный Linux с ручной установкой.

Шаг 3. Легальные полигоны. Прежде чем трогать чужие сервисы, отработайте навыки на тренировочных стендах: HackTheBox, TryHackMe, VulnHub — там всё hacking-разрешено. Полезны и CTF-соревнования (Capture the Flag): даже без побед участие в них — весомая строчка в портфолио. Здесь важно: тестируйте только ресурсы из скоупа программы или тренировочные стенды. Выход за пределы разрешённого скоупа — уже не багхантинг, а несанкционированный доступ, который квалифицируется по ст. 272 УК РФ.

Шаг 4. Первая программа. Зарегистрируйтесь на платформе, выберите публичную программу и внимательно прочитайте правила: что можно тестировать, какие методы запрещены, как считается критичность. Начинайте с простых классов — XSS, IDOR, открытые редиректы — и с небольших программ, где меньше конкуренция. Первые два-три месяца целесообразнее тратить не на гонку за дубликатами на раскрученных программах, а на не самые популярные таргеты.

Шаг 5. Репутация и рост. Каждый принятый отчёт поднимает рейтинг на платформе и открывает доступ к приватным программам: там выше выплаты и ниже конкуренция. Полезная привычка — читать раскрытые отчёты других исследователей: это учебник, написанный реальными кейсами. Дальше — специализация: API, мобильные приложения, облачная инфраструктура, где порог входа выше, но и выплаты ощутимо больше.

Пара слов про деньги, чтобы не было иллюзий. Первые отчёты — это, скорее, инвестиция в навыки, чем доход: несколько тысяч рублей за низкокритичный баг. Но потолок высокий: Яндекс платит до 3 млн рублей за RCE-уязвимости в «Почте» и «Яндекс ID», «Авито» подняло максимум до 500 тысяч, «Контур» — до 1 млн за особо опасные находки.

Российские площадки: где стартовать

Standoff Bug Bounty (Positive Technologies) — крупнейшая площадка: более 25 тысяч исследователей из 60 стран, свыше сотни программ, суммарные выплаты за три года — 242 млн рублей. Здесь проходят программы VK, Ozon, Wildberries и госсектор, включая багбаунти Минцифры по «Госуслугам». Отдельное направление — кибертесты по модели «недопустимых событий»: вознаграждение привязано к реальному бизнес-риску и может достигать 60 млн рублей. Для новичка минус очевиден: на громких программах высокая конкуренция и много дубликатов.

BI.ZONE Bug Bounty — запущена в 2022 году, по итогам 2025-го выплатила 100 млн рублей за 2,5 тысячи принятых отчётов. Сильные стороны: быстрый триаж (выплаты физлицам и самозанятым в среднем за 30 часов) и публикация закрытых отчётов с согласия заказчика — раскрытые находки работают как портфолио и учебный материал. Здесь же прошла первая в России программа по поиску уязвимостей в операционных системах — от группы «Астра».

Bugbounty.ru — старейшая российская площадка (с 2021 года). Программ меньше, чем у конкурентов, но для старта это может быть плюсом: компактный список скоупов проще сфокусировать, конкуренция ниже, сообщество в основном российское.

Отдельно от платформ компании принимают отчёты напрямую:

● у Яндекса — страница yandex.ru/bugbounty,

● у «Контура» — kontur.ru/bugbounty,

● у Сбера — собственная программа на сайте банка,

● у VK — bugbounty.vk.company.ru с выплатами до 1,8 млн рублей за одну уязвимость.

Типичные ошибки новичка

● Тестировать без правил. Ещё раз: только скоуп, только разрешённые методы. Одно осторожное «ну а вдруг там ничего страшного» может стоить уголовного дела.

● Сдавать дубль. Перед отправкой отчёта проверяйте, не найдена ли эта уязвимость кем-то раньше — платформа отклонит повтор.

● Экономить на отчёте. Точный URL, пошаговая репродукция, сценарий воздействия (impact), рекомендации по исправлению. Для бывшего тестировщика это родная территория — не теряйте её преимущество.

● Ждать быстрых денег. Стабильный доход приходит с практикой и репутацией. Те, кто сегодня зарабатывает на багхантинге заметные суммы, начинали с месяцев без единой выплаты.

Вместо вывода

Для тестировщика багхантинг — естественная точка роста: навыки переиспользуются, а новые докачиваются на бесплатных полигонах. Рынок растёт, платформы открыты, порог входа — уровень джуна с любопытством и настойчивостью. Самый сложный шаг — написать первый отчёт и отправить его. Второй получается уже проще.