Баг-хантеры нашли 300 уязвимостей в Т-Банке и Wildberries, получили 8 млн

Баг-хантеры нашли 300 уязвимостей в Т-Банке и Wildberries, получили 8 млн

Баг-хантеры нашли 300 уязвимостей в Т-Банке и Wildberries, получили 8 млн

Завершился шестой международный Standoff Hacks. В этом году участники взялись за ресурсы Т-Банка и Wildberries — и нашли почти 300 уязвимостей за две недели. Общая сумма вознаграждений превысила 8 миллионов рублей.

В Standoff Hacks участвовали 30 исследователей — из России и других стран. Формат предельно честный: две недели, открытый скоуп и реальные цели.

В этом году мероприятие впервые совпало с международной конференцией BSides Ahmedabad, где Standoff Bug Bounty получил статус Bug Bash Partner.

Т-Банк: рекордные выплаты и миллион за одну находку

Исследователи проверяли публичные ресурсы, участвующие в открытой программе Bug Bounty Т-Банка. В этот раз вознаграждения повысили, и результат не заставил себя ждать: за две недели специалисты нашли десятки технических уязвимостей — в основном Broken Access Control (BAC) и XSS.

В сумме баг-хантеры заработали 4,5 миллиона рублей, а максимальная награда составила около 1 миллиона рублей.

«Для нас участие в Standoff Hacks — это способ проверить систему под реальной нагрузкой исследователей со всего мира. Такой формат работает: синергия российских и зарубежных участников помогает находить больше проблем и делать сервис безопаснее», — рассказала Елизавета Дудко, Bug Bounty Lead Т-Банка.

Wildberries предложил участникам расширенный скоуп, добавив к публичной программе OSINT-направление и несколько новых сервисов. За две недели компания получила 175 отчетов, из которых 64 были приняты. Чаще всего исследователи находили утечки чувствительных данных (Sensitive Information Disclosure) и ошибки доступа (BAC, IDOR).

Общая сумма выплат составила около 3,5 миллиона рублей. Максимальные награды — 500 тысяч рублей — получили иностранные исследователи orwagodfather и m0m0x01d. Среди российских участников отличились kedr (350 тыс.) и rolegiv (300 тыс.).

«На Standoff Hacks было видно, что участники действительно погружаются в работу. Мы получили не только полезные отчеты, но и ценный обмен опытом с исследователями из разных стран», — отметил Александр Хамитов, руководитель направления продуктовой безопасности Wildberries & Russ.

Сбор денег в соцсетях может привести к блокировке карты

Популярные в соцсетях сборы средств могут обернуться блокировкой счетов со стороны банков, а также вниманием налоговых органов. Кроме того, в отдельных случаях такую деятельность могут квалифицировать как незаконное предпринимательство или мошенничество, что уже влечёт уголовную ответственность.

О таких рисках в комментарии для РИА Новости предупредила юрист, член Союза юристов-блогеров на базе МГЮА имени Олега Кутафина при Ассоциации юристов России Евгения Сабитова.

В последнее время в соцсетях получили распространение сборы небольших сумм. Владельцы страниц просят подписчиков перевести им, например, 50–100 рублей на погашение кредита, в том числе ипотеки.

Как отметила юрист, формально такая практика не запрещена. Однако юридические риски всё же есть. Если будет доказано, что владелец страницы вводил подписчиков в заблуждение относительно своего материального положения, его действия могут подпасть под статью 159 УК РФ (мошенничество). Максимальное наказание по ней достигает 10 лет лишения свободы.

Кроме того, систематическое поступление средств может привлечь внимание налоговых органов с точки зрения соблюдения требований Налогового кодекса. Банки, в свою очередь, вправе блокировать переводы при подозрении на мошеннические операции или отмывание средств, полученных преступным путём. Ранее уже были прецеденты блокировок даже при переводах самому себе на небольшие суммы.

В то же время Банк России назвал информацию о массовых блокировках переводов некорректной. В ЦБ также заявили, что постоянно совершенствуют механизмы выявления противоправных операций и реабилитации клиентов, пострадавших из-за ложноположительных срабатываний антифрод-систем.

RSS: Новости на портале Anti-Malware.ru