دومین باگ‌بانتی بلو با ثبت ۱۳۲ گزارش آسیب‌پذیری و پرداخت ۱.۷۱ میلیارد تومان پاداش به پایان رسید.
بلو در دومین دوره رویداد باگ‌بانتی خود، از میان ۱۳۲ گزارش آسیب‌پذیری، ۱۹ گزارش را واجد دریافت جایزه اعلام کرد و در مجموع یک میلیارد و ۷۱۰ میلیون تومان پاداش در نظر گرفت. در اختتامیه این رویداد، مدیران بلو از برنامه گسترش دامنه باگ‌بانتی گفتند و پنل امنیت در عصر هوش مصنوعی نیز به موضوعاتی مانند تاب‌آوری خدمات بانکی و لغو گواهی‌های بین‌المللی پرداخت.
دومین دوره رویداد باگ‌بانتی بلو با عنوان «blu Deep Dive 2026» با ثبت ۱۳۲ گزارش آسیب‌پذیری و اختصاص جایزه به ۱۹ گزارش به پایان رسید. در این دوره، پس از برگزاری رقابت فتح پرچم (CTF) با مشارکت ۱۴۶۵ نفر، ۸۰ محقق امنیت سایبری برای حضور در برنامه باگ‌بانتی دعوت شدند. مجموع پاداش‌های این دوره نیز یک میلیارد و ۷۱۰ میلیون تومان اعلام شد.
باگ‌بانتی برنامه‌ای است که در آن شرکت‌ها به متخصصان امنیت سایبری اجازه می‌دهند در چارچوبی مشخص، سامانه‌ها و زیرساخت‌هایشان را بررسی کنند و در ازای شناسایی و گزارش آسیب‌پذیری‌ها پاداش بگیرند. بلو با برگزاری این رویداد تلاش می‌کند ارزیابی امنیت محصولاتش را از تیم داخلی فراتر ببرد و جامعه متخصصان مستقل را نیز در این فرایند مشارکت دهد.
از رقابت CTF تا شناسایی آسیب‌پذیری‌های بلو
بر اساس توضیحات ارائه‌شده در مراسم اختتامیه، مرحله نخست این دوره با رقابت CTF در شهریورماه آغاز شد. در این رقابت، شرکت‌کنندگان با حل چالش‌های امنیتی، فلگ دریافت می‌کردند.
در نهایت، ۸۰ محقق برای حضور در رویداد حضوری باگ‌بانتی انتخاب شدند. به گفته برگزارکنندگان، انتخاب تیم‌ها صرفاً بر اساس رتبه نهایی در مسابقه نبود. سابقه فعالیت مؤثر در دوره قبلی و شناخته‌شده بودن در جامعه امنیت سایبری نیز در انتخاب تیم‌های دعوت‌شده نقش داشت.
در جریان رویداد حضوری، ۱۳۲ گزارش درباره آسیب‌پذیری‌های اپلیکیشن بلو ثبت شد که ۱۹ مورد از آن‌ها مشمول دریافت جایزه شدند. سه تیم نیز به‌عنوان برندگان اصلی معرفی شدند و برای گزارش‌های مهم خود جایزه دریافت کردند. مجموع جوایز این دوره یک میلیارد و ۷۱۰ میلیون تومان اعلام شد.
مدیرعامل بلو: امنیت یک فرایند مستمر است
حیدری، مدیرعامل بلو، در مراسم اختتامیه با اشاره به اینکه این مجموعه توانسته اعتماد ۲۸ میلیون نفر را جلب کند، گفت این عدد صرفاً یک آمار نیست و پشت آن اعتماد و احساس اطمینان کاربران قرار دارد.
او امنیت را موضوعی فراتر از یک اقدام مقطعی دانست و تأکید کرد: «امنیت یک موضوع یک‌کلمه‌ای نیست؛ یک فرایند است.»
به گفته مدیرعامل بلو، کشف مسئولانه آسیب‌پذیری‌ها بخشی از فرایند امنیت و مسئولیتی است که این مجموعه پذیرفته است. او همچنین با اشاره به تغییر مداوم فناوری، بر ضرورت توجه مستمر به امنیت تأکید کرد.
حیدری با استناد به گزارش‌های امنیتی، گفت بخش قابل‌توجهی از رخدادهای نقض داده و هک به آسیب‌پذیری‌های اپلیکیشن‌ها مربوط است و در بخشی از این رخدادها نیز پای اشخاص ثالث در میان است.
او با اشاره به هزینه‌های جهانی برنامه‌های کشف آسیب‌پذیری گفت در گزارش سال ۲۰۲۵ هکر وان، رقم ۸۱ میلیون دلار برای این حوزه مطرح شده است. به اعتقاد او، باگ‌بانتی علاوه بر کارکرد امنیتی، از نظر اقتصادی نیز ارزش‌آفرین است؛ زیرا به محافظت از کاربران و بهبود تجربه آن‌ها کمک می‌کند.
مدیرعامل بلو تأکید کرد گزارش‌های دریافت‌شده باید بررسی شوند و به اقدامات عملی برای رفع مشکلات منجر شوند. او گفت مشتریان این مجموعه گزارش‌های آسیب‌پذیری را مستقیماً مشاهده نمی‌کنند، اما نتیجه این اقدامات را می‌توان در اطمینان آن‌ها هنگام استفاده از اپلیکیشن دید.
حیدری همچنین اعلام کرد مسیر باگ‌بانتی بلو ادامه خواهد داشت و این مجموعه می‌خواهد فرهنگی ایجاد کند که در آن گزارش وجود آسیب‌پذیری، موجب نگرانی از هزینه‌های آن نشود.
برنامه بلو برای گسترش باگ‌بانتی به فراتر از اپلیکیشن
غضنفری، عضو هیئت‌مدیره بلو، با اشاره به تغییرات بانکداری سنتی گفت استفاده از فناوری‌های نوظهور می‌تواند عملیات بانکی را چابک‌تر کند و تجربه کاربری بهتری در اختیار مشتریان قرار دهد. او در عین حال حفظ اعتماد کاربران را یکی از الزامات این مسیر دانست.
غضنفری همچنین بر اهمیت آمادگی برای تحولات حوزه محاسبات کوانتومی و پساکوانتومی تأکید کرد. به گفته او، بلو تدوین راهبردی برای مواجهه با این تحولات را ضروری می‌داند؛ زیرا تغییرات این حوزه می‌تواند بر سازوکارهای امنیتی فعلی تأثیر بگذارد.
عضو هیئت‌مدیره بلو با اشاره به دوره قبلی باگ‌بانتی گفت در آن زمان وعده داده شده بود دامنه برنامه از اپلیکیشن فراتر برود، اما شرایط کشور بر اجرای این برنامه تأثیر گذاشت.
او اعلام کرد بلو در ادامه قصد دارد دامنه باگ‌بانتی را به بخش‌های بیشتری از محصولات و APIها گسترش دهد؛ از جمله رابط‌هایی که عمومی نیستند. هدف از این توسعه، افزایش تاب‌آوری زیرساخت و حفظ اعتمادپذیری پلتفرم عنوان شد.
امنیت در عصر هوش مصنوعی؛ از کنترل دسترسی تا تاب‌آوری
درجریان این اختتامیه، پنلی با عنوان «ریسک‌های امنیتی استفاده از هوش مصنوعی در حفاظت از داده تا کنترل عامل‌های خودمختار» برگزار شد. مدیر ارشد امنیت بلو و تپسی و مدیرعامل کاشف از حاضرین پنل بودند و گردانندگی آن برعهده کورش چایچی، دبیر مدیای دیجیاتو بود.
اسماعیل ملااحمدی، مدیر ارشد امنیت بلو، با اشاره به تجربه دو دوره باگ‌بانتی گفت این برنامه در شناسایی برخی آسیب‌پذیری‌ها و تقویت تیم امنیت مؤثر بوده است. او تأکید کرد امنیت به مجموعه‌ای از اقدامات مستمر نیاز دارد و نمی‌توان انتظار داشت یک برنامه به‌تنهایی همه مشکلات را برطرف کند.
به گفته ملااحمدی، بلو در دوره جدید به‌جای گسترش صرف ابعاد رویداد، بر عمیق‌تر کردن آن تمرکز کرده است. او همچنین گفت در مرحله طراحی رقابت امسال، ایده فراهم کردن بستری برای حضور عامل‌های هوش مصنوعی (AI Agent) در رقابت CTF مطرح بوده است و این مجموعه قصد دارد در آینده چنین رقابتی را راه‌اندازی کند.
مدیر ارشد امنیت بلو همچنین از آماده شدن صفحه‌ای برای اعلام گزارش‌های آسیب‌پذیری خبر داد که به گفته او، به‌دلیل شرایط اخیر کشور هنوز منتشر نشده است.
سعید کاظمی، مدیر ارشد امنیت تپسی، با اشاره به تغییر مسیر اپلیکیشن‌ها گفت کاربران ممکن است به‌جای جست‌وجوی مستقیم قابلیت‌های یک برنامه، از آن بخواهند وظیفه مشخصی را برایشان انجام دهد. در چنین مدلی، چت‌بات‌ها و عامل‌های هوشمند می‌توانند به بخشی از فرایند ارائه خدمات تبدیل شوند.
کاظمی درباره ملاحظات امنیتی این ابزارها توضیح داد که دسترسی چت‌بات به اطلاعات باید محدود و کنترل‌شده باشد و می‌توان آن را به نشست همان کاربر محدود کرد. او در پاسخ به پرسشی درباره احتمال جیل‌بریک شدن چت‌بات‌های این مجموعه نیز گفت تاکنون گزارشی در این زمینه دریافت نشده است.
خدابخشی، مدیرعامل کاشف، نیز با اشاره به استفاده از هوش مصنوعی در حوزه حمله و دفاع سایبری گفت یکی از چالش‌های مهم، تشخیص نفوذ و شناسایی دامنه فعالیت مهاجم است. به گفته او، در برخی رخدادهای اخیر کشور، نفوذ چند ماه پیش از شناسایی نهایی اتفاق افتاده بود.
خدابخشی با تأکید بر تغییر ماهیت حملات سایبری، افزایش تاب‌آوری را یکی از اولویت‌های مهم دانست. او توضیح داد سازمان‌ها باید بتوانند ابتدا وقوع حمله را تشخیص دهند، سپس دامنه تخریب را محدود کنند و در نهایت خدمات خود را در کوتاه‌ترین زمان ممکن به وضعیت عادی بازگردانند.
مدیرعامل کاشف همچنین گفت در حملات به زیرساخت‌های بانکی، هدف همیشه خارج کردن مستقیم پول از بانک نیست؛ گاهی از کار انداختن خدماتی که مردم به آن‌ها وابستگی دارند، می‌تواند هدف اصلی باشد. به گفته او، سطح بلوغ امنیتی در حوزه بانکداری و پرداخت نسبت به بسیاری از حوزه‌های دیگر بالاتر است، اما این موضوع ضرورت آمادگی برای تهدیدهای جدید را از بین نمی‌برد.
مدیرعامل کاشف: گواهی‌های ملی راهکار فعلی مقابله با لغو گواهی‌های بین‌المللی است
یکی از موضوعات مهم مطرح‌شده در پنل، بحران SSL و چالش استفاده از گواهی‌های ملی بود؛ موضوعی که با پرسش کورش چایچی از مدیرعامل کاشف آغاز شد. چایچی با اشاره به کاهش اعتماد عمومی به راهکارهایی که عنوان «بومی» دارند، پرسید در شرایطی که گواهی‌های بین‌المللی لغو می‌شوند، چه اقداماتی می‌توان انجام داد و آیا راهکاری فراتر از آگاه‌سازی کاربران وجود دارد؟
خدابخشی در پاسخ گفت حدود دو ماه پیش صادرکنندگان گواهی‌های بین‌المللی به برخی مجموعه‌های ایرانی اطلاع داده‌اند که به‌دلیل تحریم‌های مرتبط با OFAC و اتحادیه اروپا، امکان ارائه خدمات به بخش‌هایی از شبکه بانکی ایران، از جمله شاپرک و بانک‌ها، را ندارند.
او هشدار داد این محدودیت ممکن است به سایر وب‌سایت‌های ایرانی با دامنه .ir و حتی .com نیز گسترش پیدا کند. به گفته خدابخشی، این اتفاق در حالی رخ داده که قراردادهای دریافت گواهی هنوز به پایان نرسیده بودند. در پی این وضعیت، مجموعه‌های درگیر برای دریافت گواهی به صادرکنندگان کشورهای مختلف، از جمله ایتالیا، ترکیه و چین، مراجعه کردند؛ بااین‌حال، گواهی‌ها همچنان هر چند روز یک‌بار باطل می‌شوند.
خدابخشی گفت جلسات متعددی در بانک مرکزی، مرکز ملی فضای مجازی، دولت و سایر مجموعه‌ها برای بررسی ابعاد این مسئله برگزار شده و جمع‌بندی فعلی، استفاده از گواهی ملی صادرشده از سوی مرکز توسعه تجارت ایران است.
مدیرعامل کاشف مشکلات ناشی از این وضعیت را به دو بخش تقسیم کرد. گواهی‌های مورد استفاده در اپلیکیشن‌ها، سرورها و وب‌سرویس‌ها و گواهی‌هایی که کاربران هنگام باز کردن وب‌سایت‌ها در مرورگر با آن‌ها مواجه می‌شوند. او گفت مشکل بخش نخست با استفاده از گواهی ملی حل شده است، اما در بخش مرورگر همچنان مسئله اعتماد کاربر مطرح است.
به گفته وی از سوی مسئولان دو راهکار مطرح شده که یکی راه‌اندازی مرورگر ملی است. خدابخشی با مخالفت با راه‌اندازی مرورگر ملی گفت متقاعد کردن کاربران برای اعتماد به یک گواهی جدید از طریق اطلاع‌رسانی، آسان‌تر از متقاعد کردن آن‌ها برای تغییر مرورگر است.
او همچنین مدعی شد گواهی ملی از نظر الگوریتم‌های رمزنگاری و سازوکار ایجاد نشست امن تفاوتی با گواهی‌های بین‌المللی ندارد. بلکه تفاوت اصلی این است که گواهی ملی از قبل در فهرست گواهی‌های مورد اعتماد مرورگرها قرار نگرفته و کاربر باید در مرحله نخست آن را تأیید کند.
مدیرعامل کاشف در پایان بر ضرورت اطلاع‌رسانی شفاف تأکید کرد و گفت باید کل ماجرا از ابتدا تا انتها، بدون سانسور بخش‌هایی از آن، برای مردم توضیح داده شود.
در پایان این مراسم از برگزیدگان رویداد باگ بانتی بلو، تقدیر به عمل آمد.