Мы часто пишем о солидных суммах денежных вознаграждений, которые предлагают (и выплачивают) международные технологические компании вроде Google и Microsoft за уязвимости, выявленные в их продукции. Не так давно такая же программа появилась и у крупнейшего украинского мобильного оператора «Киевстар», называется она – Bug Bounty и предполагает выплату вознаграждений за уязвимости, найденные в веб-сервисах и приложениях компании. Максимальная сумма вознаграждения в рамках этой программы — $3000. И вот вчера на ресурсе «Хабрахабр» пользователь под ником Gorodnya рассказал, как обнаружил серьезную уязвимость, но вместо щедрого вознаграждения, которого, как считал, заслуживал, получил скромную выплату в размере $50.Белый хакер подробно описывает свои обиженные чувства историю, приводя более ранние примеры, когда «Киевстар» не самым лучшим образом поступал со специалистами по безопасности, помогавшими оператору повысить защищенность своих сервисов и продуктов. Вы можете прочесть его претензию полностью по ссылке в конце новости, мы же сосредоточимся на главном.Суть в том, что пользователь получил на электронную почту письмо с домена «Киевстар» с HTML-вложением «Bookmarks_July.2018.html», содержащим закладки из браузера рабочего компьютера сотрудника компании. Всего в файле было 113 закладок. Каково было удивление разработчика, когда среди других он обнаружил ссылку, которая вела на незащищенный файл на сервере компании с таблицей, содержащей все данные (адреса, логины и пароли) для получения доступа ко всей инфраструктуре и сервисам, используемым компанией.Автор подчеркивает, что никакой дополнительной защиты в виде двухфакторной аутентификации не было, благодаря чему он мог входить в ту или иную службу с правами администратора. title="«Киевстар» заплатил пользователю $50 за найденные пароли к корпоративным системам, тот остался недоволен" -->
Также по теме:
Stfw.Ru