Баг-хантинг как профессия: сколько реально можно заработать?

Ты наверняка слышал истории: «Школьник нашёл баг в Яндексе и купил себе iPhone». Или «Хакер зарабатывает миллион рублей в месяц, сидя в трусах дома». И ты думаешь: «Блин, хочу так же!» Окей, давай разберём, сколько реально можно срубить на баг-хантинге в России, не вдаваясь в сказки. 🎯

Суровая правда: первые полгода

Начнём с того, что тебя ждёт в начале пути. Спойлер: не миллионы.

Первые 3 месяца: $0-5,000₽

Да, детка, скорее всего ты будешь получать дубликаты. Это норма. Тот баг, который ты считал гениальным, уже репортнули 15 раз до тебя. Ты будешь получать ответы типа «Duplicate», «Informative», «Out of scope». Это не значит, что ты тупой - это значит, что ты учишься.

Реально за первые месяцы можно найти:

• Пару информационных багов (disclosure) - 3,000-10,000₽ за каждый
• Open redirect где-нибудь в сабдомене - 5,000-15,000₽
• Может, если повезёт, IDOR в какой-то фиче - 15,000-50,000₽

Месяцы 4-6: 10,000-50,000₽

Начинаешь понимать паттерны, видишь, где копать. Находишь более серьёзные баги. XSS в основном домене, SQL-инъекции в старых формах, проблемы с логикой доступа. Уже чувствуешь вкус победы, но на жизнь пока не хватает. 💻

Итого за полгода: 30,000-100,000₽ если пашешь вечерами после учёбы/работы. Это честно. Это реально. Это не сказки.

Уровни мастерства и заработок

Давай разложим по полочкам, кто сколько гребёт в России.

Новичок (0-1 год опыта)

Заработок: 5,000-30,000₽ в месяц
Время: part-time, 10-20 часов в неделю
Что находит: Низкоприоритетные баги, информационные утечки, простые IDOR, reflected XSS

Реальный пример:
Паша из Казани, студент 3 курса. Начал в сентябре 2024. За первые полгода нашёл 8 багов в программах Яндекса и VK. Заработал 85,000₽. Тратит на это 2-3 вечера в неделю после пар. Деньги идут на еду и развлечения.

Сложности:

• Море дубликатов (80% твоих репортов)
• Нужно учить основы безопасности с нуля
• Долгие ответы от компаний (иногда месяц ждёшь)
• Демотивация после серии неудач

Средний уровень (1-2 года опыта)

Заработок: 40,000-150,000₽ в месяц
Время: part-time, 20-30 часов в неделю или фултайм
Что находит: SQL-инъекции, stored XSS, authentication bypass, SSRF, неплохие logic flaws

Реальный пример:
Катя из Питера, работает программистом. Баг-хантит по выходным и вечерам. В среднем 2-3 серьёзных бага в месяц. За 2024 год заработала около 900,000₽. Это как вторая зарплата, которую она копит на ипотеку. 💪

Особенности:

• Уже знаешь, где искать и как репортить
• Можешь найти critical баг раз в 2-3 месяца (200k-500k₽)
• Появляются приглашения в закрытые программы
• Начинаешь специализироваться (веб, мобилки, API)

Продвинутый (2-4 года опыта)

Заработок: 150,000-400,000₽ в месяц
Время: часто фултайм
Что находит: Bug chains, RCE, critical authentication bypass, 0-days, сложные logic bugs

Реальный пример:
Алексей из Москвы, бросил работу в IT и ушёл в баг-хантинг фултайм в 2023. Зарабатывает 200,000-350,000₽ в месяц стабильно. Специализируется на мобильных приложениях и API. Работает по 6-8 часов в день, часто из путешествий. 🌍

Плюшки:

• Стабильный доход, можно планировать бюджет
• Репутация - тебя знают в комьюнити
• Приглашения на закрытые программы с большими выплатами
• Оффера от компаний на позиции security engineer (если захочешь вернуться в офис)

Топ-уровень (4+ года опыта)

Заработок: 500,000-2,000,000₽+ в месяц (но таких единицы)
Время: фултайм, это образ жизни
Что находит: Критические RCE в мегакорпорациях, сложнейшие bug chains, уникальные методики

Реальный пример:
Дима (псевдоним не раскрываю), топ-10 на Standoff Bug Bounty. За 2024 заработал больше 8 миллионов рублей. Специализируется на десериализации и memory corruption. Получает приватные инвайты от международных компаний. Живёт где хочет, работает когда хочет. Легенда. 👑

Реальность:
Таких людей в России человек 20-30 максимум. Это элита. Они вкладывали годы в обучение, провалы, эксперименты. У них уникальные навыки (reverse engineering, fuzzing, deep dive в архитектуру).

Разбивка по платформам и компаниям

Где искать и сколько платят в России?

Standoff Bug Bounty

Плюсы:

• Крупнейшие российские компании (Сбер, ВТБ, МТС, Газпромбанк)
• Адекватные выплаты (RCE до 2,000,000₽, SQLi до 500,000₽)
• Быстрые ответы (обычно 1-2 недели)
• Русскоязычная поддержка

Минусы:

• Высокая конкуренция
• Многие программы закрытые (по приглашениям)

Средний доход новичка: 10,000-40,000₽/месяц
Средний доход опытного: 100,000-300,000₽/месяц

Яндекс Bug Bounty

Плюсы:

• Огромный скоуп (Маркет, Такси, Музыка, Облако, Браузер)
• Щедрые выплаты за критичные баги (до 1,500,000₽)
• Открытая программа, можно начинать сразу
• Детальные правила и быстрая обратная связь

Минусы:

• Высокая конкуренция (тысячи хантеров)
• Низкие выплаты за low severity баги

Средний доход новичка: 5,000-25,000₽/месяц
Средний доход опытного: 80,000-250,000₽/месяц

VK Bug Bounty

Плюсы:

• Несколько платформ (ВК, ОК, VK Мессенджер, WorkSpace)
• Адекватные выплаты
• Активное комьюнити

Минусы:

• Меньше платят, чем западные компании
• Долгие процессы фикса

Средний доход новичка: 5,000-20,000₽/месяц
Средний доход опытного: 50,000-200,000₽/месяц

Тинькофф, Ozon, Wildberries

Плюсы:

• Финтех и e-commerce платят хорошо за критичные баги
• Меньше конкуренции, чем в Яндексе
• Растущие программы

Минусы:

• Не все программы публичные
• Иногда медленные ответы

Средний доход новичка: 10,000-30,000₽/месяц
Средний доход опытного: 60,000-250,000₽/месяц

Западные платформы: санкционная реальность

Можно ли работать на HackerOne/Bugcrowd из России в 2025? Технически да, но...

Проблемы:

• Блокировки PayPal, Payoneer для россиян
• Некоторые программы закрыты для РФ
• Санкции усложняют выплаты

Решения:

• Крипто-выплаты (Bitcoin, USDT) - некоторые компании предлагают
• Посредники и релокация (друзья в других странах)
• Фокус на российских программах (меньше геморроя)

Реалистичный доход: На 30-50% меньше, чем мог бы быть без санкций. Но если найдёшь critical RCE в Google — они способ найдут заплатить тебе $50k. 🌐

Налоги: неприятная правда

Окей, заработал 300,000₽. Сколько останется после налогов?

Самозанятый (НПД)

Ставка: 4% для физлиц, 6% для юрлиц
Лимит дохода: до 2,400,000₽ в год
Пример: Заработал 300,000₽ → налог 18,000₽ → на руки 282,000₽

Плюсы: Минимальная бюрократия, низкая ставка
Минусы: Лимит годового дохода, нет пенсионных отчислений

ИП (УСН 6%)

Ставка: 6% от дохода
Пример: Заработал 300,000₽ → налог 18,000₽ + страховые взносы ~45,000₽ в год → эффективно ~9-10%

Плюсы: Нет лимита дохода
Минусы: Больше отчётности, страховые взносы

Как серый кардинал (не рекомендую)

Некоторые не платят налоги вообще. Пока доходы небольшие (до 100k в год) — ФНС не особо интересуется. Но если заработаешь миллионы и не задекларируешь — прилетят вопросы. Легально и спокойно > серые схемы и стресс. 📋

Расходы баг-хантера

Думаешь, все деньги твои? Ха! Вот что уходит:

Инструменты и подписки:

• Burp Suite Pro - 30,000₽/год
• VPN/VPS для тестов - 5,000-10,000₽/год
• Курсы и сертификаты - 20,000-100,000₽/год
• Hardware (ноут, телефон для тестов) - 50,000-150,000₽ раз в 2-3 года

Образование:

• Книги, курсы, конференции - 30,000-80,000₽/год

Время:

• Самый дорогой ресурс. Пока ищешь баги - не зарабатываешь на основной работе

Средние расходы в год: 80,000-200,000₽

Плюсы и минусы как профессии

Плюсы 🔥

Свобода: Работаешь откуда хочешь, когда хочешь. Пляж в Таиланде? Окей. 3 часа ночи, потому что инсайт пришёл? Тоже норм.

Нет потолка: Твой доход зависит только от скилла и удачи. Нашёл RCE - получил 800k₽. В офисе так не бывает.

Постоянное обучение: Каждый день что-то новое. Технологии, методики, инструменты. Не тупеешь на рутине.

Репутация: Топовые хантеры получают оффера без собеседований. Твой профиль - это резюме.

Адреналин: Ощущение, когда находишь критический баг - как будто нашёл клад. Это кайф, детка. 💎

Минусы 💀

Нестабильность: Один месяц 300k₽, другой — 20k₽. Нужна финансовая подушка и железные нервы.

Выгорание: Когда неделями ничего не находишь, начинаешь сомневаться в себе. Это тяжело психологически.

Одиночество: Сидишь дома один, тыкаешь в клавиатуру. Нет коллег, нет офисной движухи (для кого-то это плюс, для кого-то минус).

Отсутствие соцпакета: Нет отпускных, больничных, пенсионных отчислений. Всё сам.

Конкуренция: С каждым годом всё больше хантеров. Low-hanging fruit исчезают быстрее.

Правовые риски: Один шаг не туда (вышел за scope, случайно слил данные) - и привет, статья 272 УК РФ.

Реалистичные сценарии

Давай посчитаем три варианта развития событий.

Сценарий 1: Part-time энтузиаст

Профиль: Работаешь программистом, баг-хантишь вечерами и выходными
Время: 15-20 часов в неделю
Результат через год: 200,000-500,000₽ дополнительного дохода

Реальность: Это как подработка. Основная работа даёт стабильность, баг-хантинг - бонус на развлечения/накопления. Золотая середина для многих.

Сценарий 2: Фултайм хантер

Профиль: Бросил работу, живёшь на баг-хантинге
Время: 40-50 часов в неделю
Результат через год: 600,000-2,000,000₽ в год (50k-170k в месяц)

Реальность: Нужна финансовая подушка на 6-12 месяцев. Первые месяцы будут тяжёлыми. Но если прорвёшься - свобода и деньги.

Сценарий 3: Комбо (офис + баг-хантинг)

Профиль: Работаешь security engineer в компании, параллельно хантишь
Время: 5-10 часов в неделю на баг-хантинг
Результат через год: Офисная зарплата 150k-250k/месяц + 100k-300k дохода от багов в год

Реальность: Самый стабильный вариант. Офис даёт уверенность и соцпакет, баг-хантинг — дополнительный доход и прокачка скилла.

Честный совет от меня

Баг-хантинг — это не лотерея и не быстрые деньги. Это профессия, которая требует:

Терпения: Первые полгода будут сложными. Смирись с этим.

Обучения: Нужно постоянно учиться. Читать статьи, смотреть write-up'ы, проходить лабы.

Страсти: Если ты не кайфуешь от процесса поиска багов - выгоришь за месяц.

Финансовой подушки: Не уходи в фултайм, пока у тебя нет 6+ месяцев расходов на счету.

Реалистичные цифры для России:

• Новичок через полгода: 10k-30k₽/месяц part-time
• Через 2 года: 50k-150k₽/месяц part-time или 100k-300k фултайм
• Топ-уровень (5+ лет): 300k-1M+₽/месяц, но таких единицы

Не гонись за миллионами сразу. Начни с малого, найди первый баг, почувствуй вкус победы. Дальше - только вверх. И помни: каждый топовый хантер начинал с дубликата и $0 на счету. 🚀

Теперь решай: готов ли ты пахать ради этого? Если да - добро пожаловать в тусовку. Если нет - лучше честно признаться себе сейчас. Баг-хантинг - это не для всех, но для тех, кто прорывается - это лучшая работа в мире. 😎