Na straży bezpieczeństwa danych

InFakt, oferujący rozwiązania księgowe, przetwarza nie tylko dane osobowe swoich klientów, ale również wrażliwe dane finansowe. Od teraz odnalezione podatności lub luki, czy to w ramach celowych poszukiwań, czy też w wyniku integracji interfejsu API z własną aplikacją, mają być zgłaszane inFaktowi dedykowanym do tego kanałem. Każde zgłoszenie będzie rozpatrzone indywidualnie przez Zespół ds. Bezpieczeństwa inFakt.

Za potwierdzone zgłoszenia wraz z informacją na temat sposobu ich odtworzenia inFakt przewiduje nagrody pieniężne. Kwoty nagród są szacunkowe, ponieważ po indywidualnym rozpatrzeniu mogą one jeszcze wzrastać:

• Kategoria podatności krytyczna: nagroda od 3000 zł, np. SQL injection, RCE, nieautoryzowany dostęp do baz danych/serwerów/kontenerów, uzyskanie dostępu do kodu źródłowego aplikacji backendowych;
• Kategoria podatności wysoka: nagroda od 1000 zł, np. nieautoryzowany dostęp do systemu bez znajomości danych dostępowych, eskalacja uprawnień pozwalająca na znaczne zmiany w koncie, podmiana numeru konta bez autoryzacji;
• Kategoria podatności średnia: nagroda od 500 zł, np. clickjacking, CSRF;
• Kategoria podatności niska: nagroda od 250 zł, np. błędy logiczne aplikacji, procedury dotyczące większej grupy kont, które wpływają na bezpieczeństwo.

Więcej informacji o programie

Giganci też płacą za wykrycie błędów

Podobne programy realizowały na polskim rynku takie marki jak: Pyszne.pl, platforma Shoper czy Allegro. Inicjatywy typu „Bug Bounty” są również bardzo popularne zagranicą. Wdrażały je np. Facebook, Google, Tesla czy nawet Pentagon, który dzięki programowi dowiedział się o krytycznej podatności w Departamencie Obrony.