Positive Technologies запустила программу bug bounty нового типа

Positive Technologies запустила программу bug bounty нового типа

Positive Technologies запустила программу bug bounty нового типа

Positive Technologies впервые в России объявила о запуске программы bug bounty нового типа, которая ориентирована не на поиск сугубо технических уязвимостей во внешних сервисах компании, а на реализацию действительно критически опасного для компании события — хищения денег со счетов. Positive Technologies готова выплатить беспрецедентное для России вознаграждение в 10 миллионов рублей.

«До сегодняшнего дня целью традиционных программ bug bounty всегда являлся поиск относительно мелких и незначительных уязвимостей в сервисах компаний. При этом не всегда они имеют критически важное значение для бизнеса и, как правило, остаются понятны только техническим специалистам, — рассказывает Алексей Новиков, директор экспертного центра безопасности Positive Technologies. — Нам важно, чтобы наиболее опасные для компании события были гарантированно нереализуемы. Поэтому мы посмотрели на bug bounty по-новому и переориентировали атакующих с обнаружения исключительно технических проблем на поиск способов реализации недопустимых для нашего бизнеса событий — в частности, на этом этапе мы проверяем возможности кражи денег со счетов компании. Такая постановка задачи на порядок усложняет работу исследователя, так как ему нужно разобраться с тем, как выстроены бизнес-процессы компании, обойти системы защиты и продемонстрировать факт хищения денег».

Постоянно совершенствуя свою систему защиты, Positive Technologies провела серию киберучений практически со всеми крупными компаниями, предоставляющими услуги по тестированию на проникновение в России. Было проанализировано более 200 возможных сценариев атак. Результаты показали, что каждая команда действует в разных стилях — кто-то, к примеру, более ориентирован на использование социальной инженерии, другие сфокусированы на сетевой инфраструктуре или веб-приложениях. Единственным способом, гарантирующим объективную и всеобъемлющую проверку защищенности компании, является расширение и разнообразие атакующей экспертизы. Поэтому Positive Technologies запустила открытую для всех исследователей программу bug bounty с уникальными условиями на платформе Standoff 365, объединяющей сегодня более 2800 баг-хантеров.

Программа bug bounty Positive Technologies не ограничена по времени, то есть компания оценивает свою защищенность непрерывно, вплоть до реализации неприемлемого для компании сценария. В отличие от классических bug bounty, здесь этичным хакерам разрешено использовать для проникновения практически любые способы проведения удаленных атак (включая социальную инженерию). Главный приз — 10 миллионов рублей — получит тот исследователь, который в соответствии с правилами программы сможет нелегитимным способом перевести деньги со счетов компании и предоставит отчет в соответствующей детализации.

«Мы считаем, что такая эволюция программ bug bounty — это новый виток в развитии индустрии кибербезопасности, так как это единственный способ для руководителя компании контролируемо убедиться, что система защиты реально работает», — резюмирует Алексей Новиков.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

ОРИ будут хранить данные три года вместо одного

С 1 января 2026 года организаторы распространения информации (ОРИ) будут обязаны хранить метаданные о пользователях в течение трех лет вместо одного, как предусмотрено действующими правилами. Нововведение объясняется необходимостью усиления борьбы с мошенничеством и другими киберпреступлениями.

С нового года ОРИ должны будут сохранять метаданные о переписках пользователей российского сегмента интернета на срок до трех лет. Это требование закреплено в постановлении правительства №1698, подписанном премьер-министром Михаилом Мишустиным 30 октября.

Документ был опубликован на официальном портале нормативных актов лишь вечером 5 ноября.

Постановление распространяется на регистрационные данные пользователей, сведения об авторизации и ряд других категорий, перечисленных в документе. Эти данные ОРИ обязаны предоставлять правоохранительным органам по запросу.

За нарушение требований предусмотрены штрафы до 6 млн рублей и иные меры воздействия, включая возможную блокировку ресурсов. Именно неисполнение подобных требований ранее стало формальным основанием для блокировки Viber.

Как сообщили в Минцифры в ответ на запрос «Коммерсанта», увеличение срока хранения метаданных направлено на противодействие онлайн-мошенничеству:

«Увеличение этого срока позволит создать более эффективную систему для расследования и пресечения преступлений, таких как мошенничество, киберпреступность и другие противоправные действия».

В то же время исполнение новых требований потребует от компаний значительных расходов. По оценке генерального директора Института исследования интернета Карена Казаряна, совокупные затраты могут составить несколько миллиардов рублей.

Генеральный директор хостинговой компании RUVDS Никита Цаплин отметил, что для бизнеса это может означать до 5% от оборота, и компании, вероятно, будут вынуждены компенсировать эти расходы за счет клиентов и партнеров.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru