O declínio da HackerOne: como a busca por lucro alterou o mercado de bug bounty

O especialista em segurança Joel Margolis, que atua como pesquisador de vulnerabilidades desde 2017 e gerhou programas de recompensa corporativos entre 2018 e 2025, publicou uma análise sobre a transformação operacional da HackerOne. A empresa, fundada originalmente em 2011 pelos hackers éticos Jobert Abma e Michiel Prins, enfrenta críticas sobre a estagnação de sua plataforma técnica e o afastamento da comunidade de pesquisadores independentes.

A origem do serviço ocorreu quando a dupla de fundadores identificou falhas em sistemas de corporações como Google, Facebook, Apple, Microsoft e Twitter. Antes do surgimento de intermediários formais, a descoberta de vulnerabilidades como IDOR (Insecure Direct Object Reference) expunha profissionais a riscos judiciais e acusações criminais. A HackerOne surgiu como um ambiente regulado para permitir a divulgação responsável e a remuneração financeira por relatórios técnicos.

A era de ouro dos eventos presenciais

Durante o período de expansão entre 2017 e 2020, a empresa organizava os chamados Live Hacking Events (LHEs) com frequência trimestral. Nessas reuniões presenciais, pesquisadores convidados recebiam acesso temporário a alvos corporativos específicos, gerando em um intervalo de 1 a 3 dias um volume de relatórios de severidade alta e crítica superior ao total registrado em um ano completo de operação contínua.

Os eventos presenciais distribuíam cartazes de tiragem limitada impressos em serigrafia, moedas de desafio customizadas e convites disputados pela comunidade global de segurança. Além dos encontros restritos aos membros de maior pontuação, a organização mantinha o espaço HackerOne Community, responsável por articular eventos regionais, desafios no formato CTF (Capture The Flag) e a nomeação de embaixadores locais para o fomento de novos talentos.

Financiamento de risco e mudança contratual

A transição no modelo de negócios foi motivada pela necessidade de rentabilização após rodadas sucessivas de investimento. Entre os anos de 2014 e 2022, a HackerOne captou aproximadamente US$ 160 milhões em capital de risco, realizando aportes do tipo seed e séries subsequentes a cada dois anos. A exigência de retorno financeiro por parte dos fundos acionistas resultou na alteração da liderança executiva, substituindo a gestão dos fundadores por um comando corporativo focado em vendas.

A estrutura comercial abandonou a taxa fixa tradicional de 20% sobre as recompensas pagas aos hackers para focar na venda de contratos anuais corporativos e licenças baseadas em capacidade. Para assegurar a retenção de clientes corporativos no momento da renovação, a equipe de vendas passou a conceder descontos situados entre 30% e 60% em troca do bloqueio contratual plurianual, priorizando previsibilidade de receita em detrimento da evolução da infraestrutura técnica do software.

Fricção operacional e estagnação da plataforma

A mudança de diretrizes causou sobrecarga nas equipes internas de triagem de relatórios. Profissionais qualificados deixaram a organização devido aos baixos salários e à alta demanda de trabalho, resultando no declínio da qualidade da validação técnica. Enquanto os pesquisadores passaram a lidar com atrasos na análise e proliferação de programas corporativos de baixo valor, as empresas contratantes registraram aumento de custos operacionais e redução no nível das vulnerabilidades reportadas.

Diante do descontentamento da base, a empresa instituiu o Hacker Success Program (HSP), uma divisão restrita voltada a oferecer atendimento direto aos pesquisadores de maior rendimento. Por meio de um Hacker Success Manager (HSM) dedicado, os hackers do topo do ranking ganharam um canal direto para intermediar disputas de pagamento e reavaliar relatórios rejeitados, criando um desequilíbrio de acesso para novos ingressantes na plataforma.

Automação por inteligência artificial e governança

Com o avanço das tecnologias de modelos de linguagem a partir de 2021, a empresa lançou o assistente virtual Hai. A ferramenta foi desenvolvida como uma camada sobre as APIs da OpenAI, sem integrar melhorias estruturais solicitadas há anos na fila de desenvolvimento da plataforma principal. O desvio de foco gerou questionamentos de pesquisadores que aguardavam correções no fluxo de trabalho e na interface do sistema.

Atualmente, embora os fundadores Jobert Abma e Michiel Prins continuem listados na página executiva da HackerOne, o controle das decisões estratégicas e do desenvolvimento do produto migrou para o conselho administrativo e executivos de vendas. A estagnação da interface e a falta de implementação das sugestões enviadas nos canais oficiais de feedback evidenciam a distância entre a operação atual e as diretrizes da fundação.

Impacto no ecossistema de cibersegurança do Brasil

A mudança de postura da HackerOne traz implicações diretas para o mercado brasileiro de segurança cibernética, onde empresas locais e órgãos públicos dependem de plataformas internacionais ou alternativas regionais para gerenciar programas de divulgação de vulnerabilidades. A migração para modelos de assinatura caros e o desgaste no relacionamento com pesquisadores abrem espaço para plataformas locais de bug bounty adequadas à legislação nacional e à LGPD.

Para os profissionais de segurança baseados no Brasil, as barreiras de entrada impostas por programas seletivos como o HSP reforçam a necessidade de diversificação em plataformas concorrentes. O cenário reforça como a dependência de um oligopólio dominado por poucas empresas financiadas por capital de risco pode impactar a sustentabilidade de longo prazo de toda a comunidade global de pesquisa ética em cibersegurança.