«Совкомбанк» заплатит хакерам до 120 тысяч за каждую найденную уязвимость
Финансовое учреждение запустило соответствующую программу на платформе BI.ZONE Bug Bounty.
Банки обладают крайне разветвленной ИТ-инфраструктурой, им нужно обрабатывать огромное количество данных и поддерживать работу сервисов. Для того чтобы обеспечить безопасность своих систем, финансовые организации часто прибегают к услугам так называемых «белых» хакеров, которые ищут уязвимости и получают вознаграждение за каждую обнаруженную лазейку.
Исследователям доступно 40 ресурсов
Недавно «Совкомбанк» объявил о запуске программы по поиску уязвимостей в своей инфраструктуре. Проверить на прочность защиту банка смогут исследователи, которые работают через платформу BI.ZONE Bug Bounty. Для работы багхантерам доступно 40 ресурсов банка. Помимо прочего в этот список входят веб-сервисы и мобильные приложения.
Также «Совкомбанк» озвучил список уязвимостей, за обнаружение которых специалисты получат вознаграждение. В их числе лазейки для удаленного выполнения кода (RCE), SQL-инъекции, внедрение внешних XML-сущностей, локальное и удаленное включение файлов (LFI/RFI), подделка запроса на стороне сервера (SSRF), IDOR-уязвимости, межсайтовый скриптинг и ошибки бизнес-логики.
Вознаграждение зависит от найденной проблемы
Вознаграждение за каждую обнаруженную уязвимость может доходить до 120 тысяч рублей. Однако конкретный размер выплаты зависит от критичности найденной бреши.
«Совкомбанк» входит в топ-10 крупнейших российских банков по размеру активов и обслуживает 10 миллионов активных розничных клиентов и 300 тысяч компаний, поэтому для него важно постоянно развивать защиту своих цифровых сервисов.
«Запуск программы на BI.ZONE Bug Bounty дополняет существующие процессы защиты банка: независимые исследователи помогут нам посмотреть на наши ресурсы с новой стороны и выявить потенциальные уязвимости. Такой подход позволяет проактивно повышать защищенность сервисов и укреплять доверие клиентов», – отметил заместитель председателя правления «Совкомбанка» Андрей Кузнецов.
Дополнение штатных протоколов безопасности
Запуск программы на BI.ZONE Bug Bounty не заменяет работу штатных служб информационной безопасности, а дает возможность привлечь к тестам широкий круг независимых исследователей с разным уровнем профессиональных навыков.
При этом сама платформа уже признана надежным инструментом для поиска уязвимостей в ИТ-инфраструктуре партнеров. Это подтверждается высоким спросом на данный сервис. Еще в 2024 году там были представлены 34 организации и 78 программ поиска уязвимостей, а общая сумма выплат исследователям превысила 60 миллионов рублей. Одними из главных пользователей выступают именно банки.
В январе 2023 года «Тинькофф Банк» (ныне «Т-Банк») объявил о запуске своей программы поиска уязвимостей. Участвовать в ней могли любые исследователи безопасности из России и стран ЕАЭС. Это стало одним из первых примеров, когда российский банк открыто привлек «белых» хакеров для поиска проблем в своих системах и сервисах.
В августе 2024 года «Сбер» объявил о запуске трёх программ поиска уязвимостей на BI.ZONE Bug Bounty. Исследователям предложили проверять официальный сайт банка, «СберБанк Онлайн» и «СберИнвестиции». Вознаграждение за подтверждённые уязвимости могло достигать 500 тысяч рублей.
Кому еще нужны услуги багхантеров?
К аналогичной модели обеспечения безопасности прибегает и государственный сектор. В ноябре 2023 года Минцифры объявило о втором этапе программы поиска уязвимостей в инфраструктуре электронного правительства. Ранее исследователи проверяли защищённость портала «Госуслуги» и Единой системы идентификации и аутентификации. По данным BI.ZONE, на первом этапе к исследованиям подключились более 8 тысяч человек. Вознаграждение на втором этапе могло достигать 1 миллиона рублей за один отчёт.
Вероятнее всего, практика привлечения багхантеров через специализированные платформы будет только расти. Причем поиск уязвимостей будет проводиться не только в готовых продуктах, но в программных решениях еще на стадии разработки. Однако развитие рынка будет зависеть от согласия компаний регулярно финансировать программы, своевременно устранять уязвимости и обеспечивать безопасные условия для независимых исследований.
