Сотрудник HackerOne крал баг-репорты для продажи на стороне

Сотрудник HackerOne крал баг-репорты для продажи на стороне

Сотрудник HackerOne крал баг-репорты для продажи на стороне

Один из сотрудников HackerOne стащил несколько сообщений об уязвимостях, отправленных сторонними исследователями. Недобросовестный работник рассчитывал получить вознаграждение, продав информацию о багах клиентам HackerOne.

Как отметили в компании, служащий связался с полудюжиной организаций. Интересно, что его сдал один из клиентов, обратившийся в HackerOne с просьбой провести расследование в отношении деятельности персонажа под ником “rzlr”.

Озадаченный клиент обратил внимание на то, что rzlr предлагал купить информацию об уязвимости, о которой ранее сообщили через платформу HackerOne. Поскольку эти баг-репорты были абсолютно идентичны, можно было сделать вывод, что rzlr просто украл и присвоил себе чужую работу.

Внутреннее расследование HackerOne выявило несанкционированный доступ одного из служащих к сообщениям о багах. В период с 4 апреля по 23 июня работник связался с семью компаниями, чтобы сообщить об уязвимостях, которые уже были раскрыты через систему HackerOne.

Интересно, что нечестному сотруднику удалось получить вознаграждения за информацию об отдельных проблемах в безопасности. Именно это, кстати, и позволило вычислить злоумышленника — команда HackerOne просто отследила соответствующие денежные переводы.

Проанализировав сетевой трафик служащего, специалисты выявили дополнительные доказательства незаконной деятельности. Менее чем через сутки после начала расследования HackerOne выявила непорядочного сотрудника и закрыла ему доступ к баг-репортам. Сообщается также, что экс-служащий в диалоге с клиентами вёл себя достаточно агрессивно, угрожая и запугивая их.

Несмотря на то что в ходе расследования специалисты не выявили утечки данных об уязвимостях, HackerOne проинформировала лично каждого из затронутых клиентов.

Напомним, что платформа HackerOne ушла из России. Тем не менее появились наши аналоги — от «Киберполигон» и Positive Technologies, например. А на одном из последних эфиров AM Live мы рассказали, как белым хакерам заработать в России на поиске уязвимостей.

Бывшему сотруднику Google грозит 15 лет за кражу секретов ИИ-разработок

Большое жюри суда Северной Каролины утвердило обвинительное заключение по делу 38-летнего Линь-Вэй Дина (Linwei Ding), открытому в связи с кражей у Google более 2000 документов, связанных с разработками в сфере ИИ.

По версии следствия, Дин, проработавший в Google программистом с 2019 года до конца 2023-го, решил создать свой стартап в КНР и даже встречался с потенциальными инвесторами, попросив сослуживца прикрыть свое отсутствие в офисе.

Чтобы не начинать с чистого листа, предприимчивый инженер стал выкачивать данные из сети работодателя — о суперкомпьютерном ЦОД, специально построенном для ИИ, о софте для его управления, ИИ-моделях, приложениях, кастомных чипах.

Исходники он скачивал в Apple Notes на рабочем MacBook, а затем конвертировал их в PDF и под своим Google-аккаунтом выгружал в облако, чтобы замести следы. За две недели до увольнения Дин скачал все украденные секреты на свой персональный компьютер.

Когда пропажу обнаружили, техногигант обратился в суд. Арест подозреваемого в связи с выдвинутыми обвинениями состоялся в марте 2024 года.

Позднее выяснилось, что тот также подал заявку на участие в программе правительства КНР, призванной обеспечить приток в страну специалистов по исследованиям и разработке. Этот факт позволял трактовать кражу секретов Google как промышленный шпионаж в пользу иностранного государства.

В США Дину инкриминируют семь эпизодов хищения коммерческой тайны и семь эпизодов экономического шпионажа. По первой статье ему грозит до 10 лет лишения свободы, по второй — до 15 лет.

RSS: Новости на портале Anti-Malware.ru