Сотрудник HackerOne крал баг-репорты для продажи на стороне

Екатерина Быстрова 04 Июля 2022 - 09:05

...

Сотрудник HackerOne крал баг-репорты для продажи на стороне

Один из сотрудников HackerOne стащил несколько сообщений об уязвимостях, отправленных сторонними исследователями. Недобросовестный работник рассчитывал получить вознаграждение, продав информацию о багах клиентам HackerOne.

Как отметили в компании, служащий связался с полудюжиной организаций. Интересно, что его сдал один из клиентов, обратившийся в HackerOne с просьбой провести расследование в отношении деятельности персонажа под ником “rzlr”.

Озадаченный клиент обратил внимание на то, что rzlr предлагал купить информацию об уязвимости, о которой ранее сообщили через платформу HackerOne. Поскольку эти баг-репорты были абсолютно идентичны, можно было сделать вывод, что rzlr просто украл и присвоил себе чужую работу.

Внутреннее расследование HackerOne выявило несанкционированный доступ одного из служащих к сообщениям о багах. В период с 4 апреля по 23 июня работник связался с семью компаниями, чтобы сообщить об уязвимостях, которые уже были раскрыты через систему HackerOne.

Интересно, что нечестному сотруднику удалось получить вознаграждения за информацию об отдельных проблемах в безопасности. Именно это, кстати, и позволило вычислить злоумышленника — команда HackerOne просто отследила соответствующие денежные переводы.

Проанализировав сетевой трафик служащего, специалисты выявили дополнительные доказательства незаконной деятельности. Менее чем через сутки после начала расследования HackerOne выявила непорядочного сотрудника и закрыла ему доступ к баг-репортам. Сообщается также, что экс-служащий в диалоге с клиентами вёл себя достаточно агрессивно, угрожая и запугивая их.

Несмотря на то что в ходе расследования специалисты не выявили утечки данных об уязвимостях, HackerOne проинформировала лично каждого из затронутых клиентов.

Напомним, что платформа HackerOne ушла из России. Тем не менее появились наши аналоги — от «Киберполигон» и Positive Technologies, например. А на одном из последних эфиров AM Live мы рассказали, как белым хакерам заработать в России на поиске уязвимостей.

Следующая главная новость »

Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Екатерина Быстрова 22 Ноября 2024 - 09:26

iOS Эксплойты Уязвимости программ Домашние пользователи Корпорации

Инструмент для взлома GrayKey работает с iPhone 16, но не с iOS 18

Слитые на днях документы показали, что GrayKey, инструмент для взлома iPhone, может получить доступ и к последней модели смартфона — iPhone 16. Однако только в том случае, если он работает на не бета-версии iOS 18.

Graykey можно назвать прямым конкурентом Cellebrite. Последняя программа, например, недавно помогла взломать смартфон стрелка, ранившего Дональда Трампа.

Разработчики GrayKey и Cellebrite скупают информацию об уязвимостях нулевого дня, которые Apple ещё не успела пропатчить. Интересно, что обе компании регулярно публикуют таблицу с актуальным списком девайсов, которые можно взломать.

Изданию 404Media удалось получить часть внутренних документов Graykey, согласно которым софт может взломать всю линейку iPhone 11, а также частично модели с iPhone 12 по iPhone 16 включительно.

Таким образом, можно сделать вывод, что последние существенные аппаратные меры безопасности Apple реализовала именно в iPhone 12. Тем не менее, поскольку подробности не раскрываются, остаётся лишь гадать, что значит «частичный взлом».

Это может быть обычный доступ к незашифрованному содержимому хранилища и метаданным зашифрованного контента. Однако GrayKey не может ничего противопоставить любой из бета-версий iOS 18, о чём говорит сама таблица.

Отметим также новую функцию безопасности в iOS 18 — автоматический перезапуск iPhone, который недавно добавил головной боли полиции.