Apple valora un fallo de seguridad de nivel 9,8 sobre 10 en solo 1.000 dólares (y por eso los hackers prefieren el mercado negro)
Un investigador de seguridad evidenció en X cómo Apple le pagó solo 1.000 dólares por un fallo de seguridad importante en Safari valorado en 9,8 de 10
Apple es una empresa que se preocupa por la seguridad y privacidad de sus usuarios. Parte de ese compromiso es cuando ofrece a investigadores de seguridad y a cualquier experto sobre el tema a descubrir vulnerabilidades tanto a nivel de sistema operativo como dentro del entorno de las apps. Las recompensas son valiosas a tal grado que pueden alcanzar hasta 1 o 2 millones de dólares. Lo que sorprende son casos como el que mostraremos a continuación donde a un investigador solo se le pagó la cifra de 1.000 dólares por una vulnerabilidad hallada en Safari calificada como crítica y con un puntaje de gravedad de 9,8 de 10.
Apple sorprende con un pago de recompensa realmente bajo a un investigador que descubrió una vulnerabilidad importante en Safari
Apple awarded me only $1,000 for this bug, I should quit this bug bounty thing and get a real job. https://t.co/PQncuqhqUs
— Renwa (@RenwaX23) July 29, 2025
De acuerdo con la información replicada por Macworld, un investigador con el nombre de usuario @RenwaX23 en X informó una vulnerabilidad crítica de seguridad en Safari. Dicha vulnerabilidad está asociada a "Universal Cross-Site Scripting" (UXSS en inglés), donde un atacante puede suplantar la identidad de un usuario para acceder a sus datos. En su evidencia destacó que podría acceder a iCloud y a la cámara del iPhone, además de hacerlo también en macOS.
En su momento, Apple corrigió el error con el parche registrado CVE-2025-30466 con Safari 18.4 en iOS y iPadOS 18.4, además de macOS 15.4 el pasado mes de marzo. El pago fue realmente infame, 1.000 dólares por un error calificado como crítico en cuestión de vulnerabilidad. ¿Cuánto debió recibir el investigador? Solo por tener un estimado, un usuario también testificó otro fallo descubierto al que solo les pagaron 5.000 dólares cuando debió ser de 50.000 dólares como mínimo.
https://youtube.com/shorts/y1WkAYsakLw
El criterio que Apple tiene para decidir el monto de la recompensa tiene que ver con la interacción del usuario frente al exploit o vulnerabilidad. En este caso, al parecer la vulnerabilidad está relacionada a que el atacante tiene que engañar primero a la víctima. El problema es que al calificarse como un riesgo alto es increíble que Apple haga un pago pequeño con relación a los montos tan altos que existen por otros errores o fallos.