hh.ru платит до 500 тысяч за критические уязвимости

hh.ru платит до 500 тысяч за критические уязвимости

hh.ru платит до 500 тысяч за критические уязвимости

HeadHunter выходит в открытый баг-баунти. Теперь проверить сервисы крупнейшей российской платформы онлайн-рекрутинга на прочность смогут все желающие исследователи безопасности на площадке Standoff Bug Bounty. Компания привлекает независимых баг-хантеров к тестированию своей инфраструктуры, сервисами HeadHunter ежемесячно пользуются около 18 млн человек, так что на кону действительно много.

За самые опасные находки обещают до 500 тысяч рублей.

В рамках публичной программы можно исследовать ключевые цифровые активы компании: основной сайт hh.ru, облачную CRM-систему для рекрутинга Talantix и профессиональную соцсеть «Сетка».

Вознаграждение зависит от уровня критичности уязвимости. За баги критического уровня — до 500 тысяч рублей, за уязвимости высокой степени опасности — до 250 тысяч.

До этого HeadHunter тестировала формат в приватном режиме, а также участвовала в закрытом мероприятии для баг-хантеров на Standoff Bug Bounty. Тогда исследователям суммарно выплатили более 920 тысяч рублей.

«Мы — одна из крупнейших площадок для поиска работы, и нам есть что терять, — отметил руководитель кибербезопасности HeadHunter Михаил Щербаков. — Когда компания понимает ценность своих данных и сервисов, она неизбежно сопоставляет риски и ищет эффективные инструменты защиты. hh.ru сделан для людей, и нам важно, чтобы их базовая потребность в безопасности распространялась и на цифровую жизнь. Поэтому мы вышли в баг-баунти. Для любой технологической компании это должна быть стандартная практика».

В компании добавляют, что особенно заинтересованы в «интересных кейсах» — нестандартных и сложных уязвимостях. По их словам, независимые исследователи со Standoff Bug Bounty уже находили критичные для бизнеса проблемы, за которые получали вознаграждения в диапазоне 400–500 тысяч рублей.

Похоже, HeadHunter решила сделать ставку на открытость: чем больше внимательных глаз смотрят на инфраструктуру, тем выше шансы вовремя закрыть уязвимость.

Антифрод не спасает: операторов связи в России штрафуют за подменные номера

Российские операторы связи всё чаще получают многомиллионные штрафы за то, что пропускают звонки мошенников с подменных номеров. Несмотря на работу системы «Антифрод», полностью перекрыть поток аферистов пока не удаётся. Только в июне сразу несколько операторов были наказаны за подобные случаи.

В Санкт-Петербурге, как пишут «Известия», компанию оштрафовали почти на 2 млн рублей после того, как пенсионерка перевела мошенникам миллион рублей.

В Омской области другой оператор получил штраф 600 тысяч рублей за пропуск звонка с подменным номером, после которого у девушки похитили деньги.

По данным Роскомнадзора, в 2025 году за такие нарушения было составлено 132 административных протокола, а общая сумма штрафов превысила 23 млн рублей. В 2026 году составлено уже 102 протокола.

При этом сама система «Антифрод» работает весьма эффективно. Сейчас она ежедневно блокирует около 1,14 млн мошеннических звонков, или более 523 млн в месяц. Но специалисты отмечают, что многое зависит от того, насколько хорошо оператор настроил защиту и насколько современное оборудование использует.

Есть и техническая особенность. Если система проверки не успевает подтвердить подмену номера за 500 миллисекунд, вызов автоматически проходит, иначе пострадала бы обычная телефонная связь. Именно этим иногда пользуются злоумышленники.

Кроме того, мошенники продолжают искать обходные пути: используют зарубежные шлюзы, VoIP-сервисы, небольших операторов, сим-боксы и всё чаще начинают атаку через мессенджеры, а телефонный звонок используют уже как второй этап.

Но главные изменения ещё впереди. С марта 2027 года должны вступить в силу положения закона «Антифрод 2.0». Если суд установит, что оператор не принял достаточных мер для блокировки мошеннического звонка, пострадавший сможет требовать компенсацию ущерба уже не только от банка, но и от оператора связи.

Эксперты считают, что после этого телеком-компаниям станет дешевле максимально качественно настраивать свои антифрод-системы, чем потом выплачивать клиентам украденные мошенниками деньги.

RSS: Новости на портале Anti-Malware.ru