Яндекс повысил премии за найденные уязвимости до 750 тысяч рублей

Яндекс повысил премии за найденные уязвимости до 750 тысяч рублей

Яндекс повысил премии за найденные уязвимости до 750 тысяч рублей

Компания «Яндекс» увеличила размеры наград, выдаваемых исследователям в рамках ее программы «Охота за ошибками». Отныне за сообщение об уязвимости ее системы безопасности можно будет получить до 750 тыс. рублей.

Собственную программу премирования баг-хантеров «Яндекс» запустил около десяти лет назад. На настоящий момент ее участникам совокупно выплачено свыше 30 млн рублей.

По условиям этой bug bounty, проблемы безопасности можно искать, изучая инфраструктуру «Яндекса», его веб-сервисы и приложения, в том числе Яндекс.Браузер. Сообщения об ошибках рассматривают дежурные сотрудники ИБ-службы компании вместе с командой затронутого объекта исследования.

Размер вознаграждения зависит от степени опасности уязвимости. Выше всего «Яндекс» ценит возможность удаленного выполнения стороннего кода на сервере (теперь от 220 тыс. до 750 тыс. рублей). За обнаружение уязвимости LFR, RFI или XXE либо возможности инъекции кода можно получить до 445 тыс. рублей, за побег из песочницы Яндекс.Браузер — до 370 тысяч.

Условия bug bounty «Яндекса» опубликованы на специализированном сайте компании. Участники программы также могут получить дополнительную информацию, обратившись в службу техподдержки «Охоты за ошибками».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники начали использовать информацию из Росреестра для атак

Мошенники начали активно использовать данные Росреестра о недвижимости для проведения атак социальной инженерии. Цель таких схем может быть разной: вынудить жертву перевести деньги на подконтрольный счет, установить вредоносное приложение или назвать код аутентификации для сервиса.

О новых приёмах злоумышленников РИА Новости рассказал генеральный директор SafeTech Денис Калемберг.

Аферисты строят общение на знании конкретного объекта недвижимости, принадлежащего собеседнику. По словам эксперта, именно эта информация становится для мошенников «ключом» к доверию со стороны жертвы.

По сути, схема является развитием старой легенды о замене счетчиков, о которой Центр правопорядка Москвы и Московской области предупреждал ещё год назад.

Однако в этом году сценарий заметно усложнился. На первом этапе жертва получает код подтверждения не от Госуслуг, а от стороннего сервиса — например, каршеринга, службы доставки или маркетплейса. Как отметил Денис Калемберг, задача злоумышленников — убедить человека, что это именно код от Госуслуг, вызвать замешательство и панику.

Следом приходит сообщение якобы от Госуслуг с контактным номером. По нему отвечает «специалист Роскомнадзора по борьбе с мошенничеством», утверждающий, что злоумышленники подменили текст и номер в смс техническими средствами.

Если жертва начинает задавать уточняющие или неудобные вопросы, мошенник уходит от прямых ответов, ссылаясь на плохую связь.

Финальные цели атак могут различаться. Злоумышленники требуют перевести деньги на «безопасный счёт», сообщить код из смс для подтверждения операции или установить вредоносное приложение.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru