Anti-virusbedrijf Avast! is een beloningsprogramma voor hackers en beveiligingsonderzoekers gestart die op verantwoorde wijze kwetsbaarheden in de virusscanner van het bedrijf rapporteren. Tal van organisaties hebben inmiddels 'bug bounty' programma's gelanceerd, waaronder Facebook, Google, Mozilla en PayPal. Ook Avast! erkent het succes van dit soort initiatieven.

"Bedrijven die hun gebruikersgemeenschap kunnen inzetten om bugs te vinden en verhelpen zijn over het algemeen succesvoller dan degene die dat niet doen. Daarom hebben we besloten individuen te belonen die ons helpen bij het vinden van security-gerelateerde bugs in onze eigen software", laat het anti-virusbedrijf weten.

Regels
Avast! zegt dat het hiermee het eerste beveiligingsbedrijf is dat een soortgelijk programma lanceert, maar dat is niet helemaal waar. In 2010 was het netwerkleverancier Barracuda dat een beloningsprogramma lanceerde. Volgens de virusbestrijder is het belangrijk om te beseffen dat ook beveiligingssoftware kwetsbaarheden kan bevatten.

Dat virusscanners ernstige lekken bevatten werd eind vorig jaar duidelijk, toen onderzoeker Tavis Ormandy verschillende problemen in de virusscanner van Sophos openbaarde.

De beloning die Avast! betaalt is afhankelijk van de ernst van het lek. Standaard wordt 150 euro per bug betaald. Gaat het om een lek waarmee aanvallers het systeem kunnen overnemen, dan ligt de beloning tussen de 2.200 en 3.700 euro en mogelijk nog hogere bedragen.

De beloning wordt alleen uitgekeerd als het lek verholpen is. Onderzoekers die details publiceren voordat een patch beschikbaar is krijgen geen beloning. Daarnaast wordt er alleen betaald voor lekken in de Windows-versies van de verschillende anti-virusprogramma's van Avast!. Het bedrijf heeft van alle anti-virusbedrijven de meeste gebruikers ter wereld.