🧑‍💻 Белые хакеры усилили защиту Т-Банка и Wildberries и заработали более 8 млн рублей на Standoff Hacks

В октябре мы провели шестой международный Standoff Hacks — ивент для лучших багхантеров площадки Standoff Bug Bounty.

В нем приняли участие 30 российских и иностранных специалистов, которые в течение двух недель проверяли на прочность системы Т-Банка и Wildberries, финал состоялся в индийском Ахмадабаде 🇮🇳

В короткие сроки исследователи отправили почти 300 отчетов о найденных уязвимостях, а общая сумма выплат превысила 8 млн рублей.

🏦 Что устранили в Т-Банке

Исследователи проверяли публичные ресурсы компании, доступные в рамках открытой программы багбаунти. На время ивента действовали повышенные выплаты за обнаруженные недостатки безопасности.

• Чаще всего встречались технические баги, которые позволяли получить несанкционированный доступ (Broken Access Control) и внедрить вредоносный код в веб-страницу (XSS).
• Общие выплаты багхантерам — 4,5 млн рублей.
• Максимальная награда за одну находку — около 1 млн рублей.

🛍 Что поправили в Wildberries

Скоуп Wildberries включал ресурсы публичной программы, а также дополнительные направления — OSINT и несколько новых сервисов.

• Большинство уязвимостей относились к наиболее популярным типам — Sensitive Information Disclosure (раскрытие конфиденциальных данных), Broken Access Control (ошибки контроля доступа) и Insecure Direct Object Reference (получения прямого доступа к объекту).
• Общая сумма выплат — около 3,5 млн рублей.
• Максимальная награда — 500 тыс. рублей (иностранным исследователям) и 350 тыс. рублей (среди российских участников).

👋 Азиз Алимов, руководитель Standoff Bug Bounty, отметил:

«Подобный формат Standoff Hacks позволяет привлекать к тестированию ресурсов исследователей безопасности со всего мира. Для российских компаний, готовых предоставить свой скоуп, это возможность привнести новые подходы, методы и свежий взгляд со стороны международного комьюнити. Сочетание опыта российских и зарубежных багхантеров повышает качество проверок, благодаря которым компании могут стать заметно устойчивее к глобальным угрозам».

Как прошел финал — смотрите на видео 😉

Программы багбаунти Т-Банка и Wildberries доступны исследователям со всего мира круглосуточно на Standoff Bug Bounty. Формат Standoff Hacks помогает компаниям из разных отраслей протестировать новые сервисы и заранее устранить возможные уязвимости.

#StandoffHacks
@Positive_Technologies

Багхантеры заработали ₽23 млн на эпичном Standoff Hacks в 上海 (Шанхае) 🐉

Если вы вдруг забыли, то не забывайте: Hacks — это приватный ивент для топовых багхантеров платформы Standoff Bug Bounty.

В течение двух недель они в экспресс-формате ищут уязвимости в публичных и эксклюзивных программах компаний, чтобы те могли оперативно их устранить и оценить уровень своей защищенности.

В финале багхантеры и компании встречаются на тусовке, чтобы наградить лучших, обменяться опытом и просто классно провести время. И каждый раз для этого мы выбираем новую интересную локацию.

Почему этот Hacks — уже седьмой по счету — стал по-настоящему эпичным? 🔝

На ивенте установили рекорд по выплатам за всю историю проекта: 30 участников заработали более 23 млн рублей.

Это в три раза больше, чем на предыдущем Standoff Hacks в Индии, и больше, чем получили багхантеры на похожем ивенте международной платформы HackerOne в начале года (H1-361).

Исследователи — российские и иностранные — искали уязвимости в четырех крупных технологических компаниях: Т-Банк, «1С-Битрикс», VK и «Инфосистемы Джет».

За 14 дней они отправили 353 отчета об уязвимостях разного уровня опасности. Из них 175 признали валидными и оплатили. Это позволило компаниям оперативно устранить недостатки и сделать свои продукты и сервисы безопаснее.

🎥 Как все прошло в Китае — смотрите в видосе. Да, в Диснейленде мы тоже побывали, потому что все любят мультики и аттракционы.

А если хотите проверить защищенность своей компании на Hacks — оставляйте заявку на сайте.

#StandoffHacks
@Positive_Technologies