Сотрудник HackerOne крал баг-репорты для продажи на стороне

Сотрудник HackerOne крал баг-репорты для продажи на стороне

Один из сотрудников HackerOne стащил несколько сообщений об уязвимостях, отправленных сторонними исследователями. Недобросовестный работник рассчитывал получить вознаграждение, продав информацию о багах клиентам HackerOne.

Как отметили в компании, служащий связался с полудюжиной организаций. Интересно, что его сдал один из клиентов, обратившийся в HackerOne с просьбой провести расследование в отношении деятельности персонажа под ником “rzlr”.

Озадаченный клиент обратил внимание на то, что rzlr предлагал купить информацию об уязвимости, о которой ранее сообщили через платформу HackerOne. Поскольку эти баг-репорты были абсолютно идентичны, можно было сделать вывод, что rzlr просто украл и присвоил себе чужую работу.

Внутреннее расследование HackerOne выявило несанкционированный доступ одного из служащих к сообщениям о багах. В период с 4 апреля по 23 июня работник связался с семью компаниями, чтобы сообщить об уязвимостях, которые уже были раскрыты через систему HackerOne.

Интересно, что нечестному сотруднику удалось получить вознаграждения за информацию об отдельных проблемах в безопасности. Именно это, кстати, и позволило вычислить злоумышленника — команда HackerOne просто отследила соответствующие денежные переводы.

Проанализировав сетевой трафик служащего, специалисты выявили дополнительные доказательства незаконной деятельности. Менее чем через сутки после начала расследования HackerOne выявила непорядочного сотрудника и закрыла ему доступ к баг-репортам. Сообщается также, что экс-служащий в диалоге с клиентами вёл себя достаточно агрессивно, угрожая и запугивая их.

Несмотря на то что в ходе расследования специалисты не выявили утечки данных об уязвимостях, HackerOne проинформировала лично каждого из затронутых клиентов.

Напомним, что платформа HackerOne ушла из России. Тем не менее появились наши аналоги — от «Киберполигон» и Positive Technologies, например. А на одном из последних эфиров AM Live мы рассказали, как белым хакерам заработать в России на поиске уязвимостей.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Первый пошел: оператор заплатит 1 млн рублей за вызов с подменного номера

Российский суд оштрафовал компанию за пропуск звонка с подменного номера от иностранного оператора. "Оранж Бизнес Сервисез" заплатит в казну миллион рублей. Это первое наказание за такое правонарушение.

ООО "Оранж Бизнес Сервисез" принадлежит нидерландской Equant Finance B.V., головной компании выступает французская телекоммуникационная Orange.

Роскомнадзор составил в отношении российской “дочки” протокол по ч. 2 ст. 13.2.1 КоАП РФ, передает Интерфакс:

"В России вынесено первое решение о привлечении к административной ответственности оператора связи за пропуск вызова с подменного номера от иностранного оператора. За такое правонарушение оператору "Оранж Бизнес Сервисез" мировым судом назначен штраф в размере 1 млн рублей", — сообщили в ведомстве.

Других подробностей дела нет. Миллион рублей — верхняя планка штрафа по этой статье. Президент подписал закон 30 декабря 2021 года. Должностные лица могут заплатить от 30 до 100 тысяч рублей, индивидуальные предприниматели — от 200 до 800 тысяч рублей, а юрлица - от 500 тысяч до 1 млн рублей.

Наказание предусмотрено за каждый выявленный факт нарушения закона, то есть за каждый звонок с подменным номером, который поступил абоненту.

Согласно поправкам в закон “О связи” операторы не должны пропускать вызовы и СМС-сообщения из-за рубежа с подменных номеров. Для этого телеком обязан подключиться к системе Роскомнадзора, которая будет анализировать информацию.

В июле сотовые операторы раскритиковали систему блокировки звонков с подменных номеров, а в августе стало известно, что Минцифры предлагает увеличить срок хранения данных о таких звонках до года. До этого речь шла о шести месяцах.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru