Er is een legale manier om betaald te worden voor het hacken van websites. Grote bedrijven, banken, overheden en tech-giganten betalen researchers van over de hele wereld om kwetsbaarheden in hun systemen te vinden voordat echte criminelen dat doen. Dat vak heet bug bounty hunting, en de beloningen lopen van enkele tientjes tot, in uitzonderlijke gevallen, rond de miljoen euro per vondst.

Wij doen dit werk actief bij TCAI Solutions. Het is een serieuze tak van wat we doen, en het is tegelijk het belangrijkste alternatief dat we kunnen aanbieden aan mensen die nieuwsgierig zijn naar hacking maar niet in de verleiding willen komen om iets illegaals te doen op ongevraagde sites. In deze post leggen we uit wat bug bounty hunting daadwerkelijk oplevert, hoe we het zelf aanpakken, en we delen een concrete case uit ons eigen werk. Inclusief het deel waar we geen beloning kregen maar waar we ondanks dat gewonnen hebben.

Wat je echt kunt verdienen met bug bounty hunting

Laten we beginnen met de getallen, want zonder cijfers blijft het abstract.

Grote bug bounty programma's op platforms als HackerOne, Intigriti en YesWeHack betalen volgens vastgestelde beloningsgrids. De bedragen hangen af van de ernst van de kwetsbaarheid (Critical, High, Medium, Low) en van de waarde die het bedrijf aan het getroffen systeem hecht.

De ranges die we in het veld tegenkomen zijn ruwweg als volgt.

Bij mid-tier programma's (retail, e-commerce, SaaS-diensten, mobiele apps) lopen de beloningen van €50 tot €250 voor een eerste Low-finding, €200 tot €1.000 voor een Medium, €1.500 tot €5.000 voor een High, en €5.000 tot €15.000 voor een Critical. Dit is de categorie waar de meeste actieve researchers hun inkomen uit halen.

Bij top-tier programma's (grote tech-bedrijven, financiele instellingen, overheidsdiensten met hoog-waarde assets) gaan de bedragen aanzienlijk omhoog. Critical findings kunnen daar oplopen tot €50.000 of hoger, in uitzonderlijke gevallen tot €230.000 voor een enkele vondst. De exacte cijfers staan publiek in de programma-documentatie.

Aan het absolute topeinde van het vak zien we bounties van honderdduizenden tot rond de miljoen euro voor zeer kritieke vondsten op infrastructuur waar serieuze waarde beschermd moet worden. Dat zijn de uitzonderingen die op LinkedIn viral gaan, en het bestaat echt, maar het is niet het dagelijkse werk van de gemiddelde researcher.

Voor iemand die net begint, is een realistische verwachting voor het eerste jaar: een paar honderd tot een paar duizend euro aan bounties, plus een portfolio dat de weg vrijmaakt naar grotere dingen. Na twee tot drie jaar serieus volhouden, zit een gemotiveerde researcher rustig op een extra inkomen naast een dagbaan. De top van het vak hunt fulltime en verdient daar meer mee dan de meeste tech-banen opleveren.

Waarom dit bestaat, en waarom het legaal is

De reden dat bedrijven dit soort bedragen neerleggen, is simpel: het is goedkoper dan de schade van een echte aanval. Een datalek kost gemiddeld miljoenen aan boetes, herstel en reputatieschade. Een Critical vondst vooraf kopen voor een fractie van dat bedrag is gewoon een verstandige keuze.

Het is ook legaal. Bug bounty programma's bevatten een safe harbor clausule, een juridische afspraak waarin het bedrijf zegt: als je onze regels volgt en onze scope respecteert, dan beloven we je niet aan te klagen of bij de politie te melden. Je wordt actief uitgenodigd om hun systemen te onderzoeken. Geen toestemming nodig vooraf, geen aparte contracten. De uitnodiging staat op hun programma-pagina.

Dat is het fundamentele verschil met illegaal hacken. Bij een illegale hack heeft de site-eigenaar je niet gevraagd te komen. Bij bug bounty heeft hij dat wel, met volledige schriftelijke garantie dat je veilig bent zolang je binnen de regels blijft. Voor iedereen die ooit heeft nagedacht over hacking leren maar geen strafblad willen: dit is het antwoord.

Onze aanpak bij TCAI Solutions

Bij elk nieuw doelwit volgen we dezelfde werkwijze. Eerst lezen we het hele bug bounty programma door. Niet alleen de scope-lijst, maar ook de uitsluitingen, de regels over rapportage, de vereiste headers, de beloning-tabellen, en de uitzonderingen die zeggen wat ze al kennen en dus niet willen horen.

Daarna doen we recon. Welke subdomeinen zijn er? Welke technologieen gebruiken ze? Welke endpoints zijn openbaar zichtbaar in de JavaScript van de hoofdsite? Welke delen vragen om authenticatie en welke niet? Dit kost meestal een paar uur en levert een lijst op van potentieel interessante plekken.

Pas dan beginnen we met testen. En testen betekent niet blind proberen, maar per feature de vraag stellen: wat zou hier mis kunnen gaan? Welke aannames maakt deze code? Wat als een aanvaller die aannames breekt?

Als we iets vinden, documenteren we het zorgvuldig, bouwen we een Proof of Concept, en dienen we het rapport in via het platform van het programma. Daarna wachten we op de triage van het security-team van het bedrijf. Dat duurt meestal tussen de 24 uur en twee weken.

Wat er dan gebeurt, is waar het interessant wordt.

Een case uit onze recente praktijk

Hier een concreet voorbeeld uit ons werk. Voor de privacy van het bedrijf en binnen de regels van het programma delen we geen naam en geen sector. Het was een grote internationale organisatie met miljoenen klanten.

Een van de features op hun website liet klanten bepaalde unieke codes aan hun account koppelen. We zagen dat het endpoint dat de code verwerkte, geen enkele verificatie van eigenaarschap had. Wie de code wist, kon het item claimen. En er was geen zichtbare rate limiting op het aantal pogingen per IP-adres of per seconde.

In theorie betekende dit dat iemand systematisch codes zou kunnen proberen en zo items claimen die aan andere klanten toebehoorden. We verzamelden de observatie, documenteerden de stappen, en stuurden het rapport in.

De response kwam sneller dan verwacht. Binnen 24 uur kregen we een uitgebreid antwoord terug waarin het security-team uitlegde dat ze dit scenario al hadden doorgenomen tijdens het ontwerp. Hun threat model was bewust om geen extra verificatie te eisen, omdat dat zou betekenen dat ze meer persoonlijke data moeten opslaan. Minder data voelde voor hen als het grotere goed dan maximale verificatie, en dat is een privacy-afweging waar we uiteindelijk wel respect voor hadden.

Maar, en dit is belangrijk: ondanks die by design classificatie besloten ze toch een IP-gebaseerde rate limit toe te voegen op het endpoint. Ons rapport had geleid tot een defensieve verbetering bij hun code. Geen bounty, wel impact.

Waarom dit toch winst was, zelfs zonder beloning

In de wereld van bug bounty krijgt dit soort rapport de status Informative. Dat betekent geen financiele beloning. Een beginnende hunter zou hier teleurgesteld op kunnen reageren en denken: we hebben uren werk gestoken in een rapport zonder opbrengst. Maar dat is het verkeerde frame.

Er zijn drie redenen waarom dit rapport voor ons alsnog winst was.

Ten eerste bewees onze methode zich. We hadden een kwetsbaarheid gezien die echt bestond, we hadden hem goed gedocumenteerd, en het bedrijf nam het serieus genoeg om binnen een dag te reageren en binnen een week een code-wijziging door te voeren. Als onze aanpak waardeloos was geweest, was het rapport afgewezen als not applicable of genegeerd. Dat het zo werd behandeld, betekent dat onze tekst, onze proof of concept, en onze argumentatie goed genoeg waren. Dat is bruikbare feedback over onze eigen kwaliteit.

Ten tweede hebben we echt bijgedragen aan veiligheid. De rate limit die nu op dat endpoint staat, is er gekomen door ons rapport. Miljoenen klanten van dit bedrijf zijn iets veiliger dan ze gisteren waren. We hebben geen bounty gekregen, maar we hebben wel een stukje van het internet beter gemaakt. Dat is iets wat weinig beroepen je kunnen geven.

Ten derde staat ons rapport in hun systeem. De triager kent onze werkwijze nu. Volgende rapporten van ons bij dit programma worden met meer vertrouwen opgepakt. Reputatie bouwen is een lange termijn-investering in het vak, en elk rapport draagt daaraan bij, ook als het op korte termijn niks oplevert.

Dit alles betekent niet dat we niet ook bounties willen verdienen. Dat willen we zeker, en dat doen we ook op andere rapporten. Maar de boodschap is: zelfs in het minder-vrolijke scenario waarin je geen geld krijgt voor een specifieke vondst, is het werk de moeite waard.

Wat dit betekent voor wie wil beginnen

Als je nieuwsgierig bent naar hacking en je overweegt bug bounty hunting, dan is de belangrijkste vraag waar je staat: wil je dit vak leren op een manier die legaal is, betaald kan worden, en die waarde toevoegt aan het internet in plaats van het te ondermijnen?

Het antwoord op al die drie is ja bij bug bounty. Het is legaal omdat bedrijven je er actief voor uitnodigen. Het is betaald omdat dezelfde bedrijven gestructureerde beloningen uitkeren. En het voegt waarde toe omdat elke vondst die je rapporteert wordt gebruikt om echte software veiliger te maken voor echte gebruikers.

Wat je niet krijgt als beginner, is een gegarandeerde inkomstenstroom vanaf dag een. Bug bounty is geen parttime kassa-baan. Je investeert eerst maanden tot jaren in je skills voordat je consistent bounties verdient. Maar het voordeel daarvan is dat je kennis opbouwt die in elke security-rol in de tech-sector waardevol is, zelfs als je nooit fulltime hunter wordt.

Het grootste voordeel dat we zelf zien: bug bounty beloont doorzetten. Wie een jaar volhoudt met leren en rapporteren, zit in een positie waar veel mensen op LinkedIn over dromen.

Wat je nu kunt doen

Twee richtingen, afhankelijk van waar je staat.

Wil je dit vak vanaf nul leren op de goede manier? In de academy van TCAI Solutions leren we deelnemers hoe bug bounty hunting daadwerkelijk werkt. Niet alleen de technische kant, ook het lezen van program-policies, het opstellen van rapporten, het omgaan met responses en afwijzingen, en hoe je een carriere-lange reputatie opbouwt. Leren en doen in een traject waar je onder begeleiding op echte programma's werkt. Meld je aan voor de academy

Of wil je samen met anderen hacken en deelnemen aan sessies? Op onze bug bounty pagina bouwen we de community rondom Nederlandse security-onderzoekers. Samen doelwitten verkennen, ervaringen delen, gezamenlijke hack-sessies en events organiseren. Voor wie al een beetje basis heeft en het leuker vindt om met anderen op te trekken dan solo. Kijk op de bug bounty community

Bug bounty hunting is de legale, betaalde, constructieve manier om hacking-skills in te zetten. Er is echt geld mee te verdienen, zelfs voor beginners die bereid zijn te investeren in hun eigen groei. En zelfs als een specifiek rapport geen beloning oplevert, maakt elke vondst een beetje van het internet veiliger. Dat is het werk.