De organisatie achter hackwedstrijd Pwn2Own heeft een beloning van 300.000 dollar uitgeloofd voor een remote hack van WhatsApp, de iPhone 17 en Google Pixel 10. Pwn2Own is een jaarlijks door cybersecuritybedrijf ZDI georganiseerd evenement waarbij onderzoekers worden beloond voor het demonstreren van nog onbekende kwetsbaarheden in allerlei producten. Er zijn verschillende edities van Pwn2Own, met elk een eigen thema, zoals automotive, mobile, industriële controlesystemen, kantoorsoftware en cloud.

Van zes tot en met negen oktober dit jaar vindt in het Ierse Cork Pwn2Own Ireland plaats, waarbij onderzoekers uit verschillende categorieën kunnen kiezen, zoals smartphones, printers, smarthome-apparaten, WhatsApp en AI-infrastructuur. De hoogste beloning bedraagt 300.000 dollar. Het bedrag wordt uitgekeerd voor een zeroclick-aanval op WhatsApp en een remote hack van de iPhone 17 of Google Pixel 10.

Bij een zeroclick-aanval is er geen enkele interactie van het doelwit vereist. Verschillende spywareleveranciers hebben in het verleden zeroclick-aanvallen gebruikt voor het verspreiden van hun spyware. Daarbij werd onder andere een zeroclick-aanval tegen WhatsApp gebruikt. Spywareleverancier NSO Group werd hier vorig jaar door een Amerikaanse rechter voor veroordeeld. Een WhatsApp-aanval waarbij het doelwit op een link moet klikken levert tijdens de komende Pwn2Own-wedstrijd 200.000 dollar op.

De remote hacks van de iPhone en Google Pixel mogen plaatsvinden via near field communication (NFC), wifi, bluetooth of de browser waarbij een website wordt bezocht. Een zelfde aanval op de Samsung Galaxy S26 wordt beloond met 50.000 dollar. Volgens de organisatie ligt het bedrag lager omdat de Samsung een eenvoudiger doelwit is. Ook in de andere categorieën liggen de geldprijzen een stuk lager. Bij een succesvolle aanval zal Pwn2Own de informatie over de gebruikte kwetsbaarheden delen met de betreffende leverancier, zodat die updates kan ontwikkelen.