De zakelijke sociale netwerksite LinkedIn heeft sinds eind vorig jaar een besloten beloningsprogramma voor een selecte groep onderzoekers die kwetsbaarheden rapporteren. In tegenstelling tot veel andere sites die een open beloningsprogramma voor bugmeldingen lanceren besloot LinkedIn het programma besloten te houden. Volgens directeur informatiebeveiliging Cory Scott komt het programma voort uit de bugmeldingen die via security@linkedin.com binnenkomen.

De meeste meldingen waren volgens Scott niet bruikbaar, maar een kleine groep onderzoekers stuurde altijd gedetailleerde bugmeldingen. Daarop besloot LinkedIn voor deze groep onderzoekers een speciaal beloningsprogramma te starten. Dat heeft inmiddels meer dan 65 concrete bugs opgeleverd, waarvoor meer dan 65.000 dollar werd uitbetaald. Het programma is zo opgezet dat het securityteam van LinkedIn direct met de onderzoekers vanaf het begin tot het einde samenwerkt. De betalingen laat LinkedIn via HackerOne lopen, een platform waar veel bedrijven openbare beloningsprogramma's starten.

Scott merkt op dat LinkedIn naar een open beloningsprogramma heeft gekeken, maar gezien de ervaringen met externe bugmeldingen en de status van het huidige ecosysteem van bugmeldingen zouden de kosten niet meer tegen de opbrengsten opwegen. Toch roept Scott externe onderzoekers op om bugs via security@linkedin.com te blijven melden. Hij stelt verder dat besloten is om de ervaringen van LinkedIn te delen om "meer nuance" aan de discussie over het onderwerp te geven, die voor anderen misschien interessant is.