Совкомбанк платит хакерам до 120 тысяч рублей за найденные уязвимости
Багхантеры могут проверить более 40 ресурсов Совкомбанка на платформе BI.ZONE Bug Bounty
Совкомбанк открыл охоту на уязвимости в своих сервисах: за найденную ошибку исследователям пообещали максимум 120 тысяч рублей. Программа работает на платформе BI.ZONE Bug Bounty.
Независимые специалисты по безопасности, или багхантеры, могут изучать больше 40 ресурсов банка — от веб-сервисов до мобильных приложений. Чем опаснее обнаруженная брешь, тем выше вознаграждение.
В списке уязвимостей, за которые банк готов платить, есть удалённое выполнение кода (RCE), SQL-инъекции, внедрение внешних XML-сущностей и включение локальных и удалённых файлов (LFI/RFI). Кроме того, учитываются подделка запросов на стороне сервера (SSRF), небезопасные прямые ссылки на объекты (IDOR), межсайтовый скриптинг и ошибки бизнес-логики.
Совкомбанк входит в десятку крупнейших банков страны по размеру активов. Как рассказали в самой организации, у неё 10 млн активных розничных клиентов и 300 тысяч клиентов-компаний. Новая программа, по словам банка, станет дополнением к уже работающей системе защиты.
В банке заявили, что независимые исследователи помогут взглянуть на ресурсы «с новой стороны».
BI.ZONE Bug Bounty — российская площадка, где компании выкладывают задания на поиск уязвимостей, а исследователи зарабатывают на подтверждённых ошибках. По словам руководителя продукта Андрея Лёвкина, финансовый сектор по-прежнему входит в число самых активных участников этого рынка.
Между прочим. Идею программ вознаграждения за найденные ошибки придумал Джарретт Ридлинхафер, инженер технической поддержки в Netscape Communications Corporation. На старт ему выделили 50 тысяч долларов. Такие программы позволяют разработчикам найти и исправить ошибки раньше, чем о них узнает широкая публика.