Relatórios falsos de recompensas de bugs de clickjacking: os principais fatos
Você está ciente de relatórios falsos de recompensas de bugs de clickjacking? Se não, você deveria estar. Este artigo irá ajudá-lo a se atualizar e a ficar alerta.
O que são os relatórios de recompensas de bugs de clickjacking?
Se começarmos dividindo o termo em suas partes e componentes, uma recompensa de bug é um programa oferecido por uma organização, no qual os indivíduos são recompensados por encontrar e relatar bugs de software. Esses programas são frequentemente usados por empresas como uma maneira econômica de encontrar e corrigir vulnerabilidades de software, melhorando assim a segurança de seus produtos. Eles também ajudam a construir boa divulgação com a comunidade de segurança.
Para os caçadores de recompensas (ou hackers de chapéu branco), eles têm a oportunidade de ganhar dinheiro e reconhecimento por suas habilidades.
Clickjacking é uma técnica maliciosa usada para induzir os usuários a clicar em algo que eles acham que é seguro, mas na verdade é prejudicial. Por exemplo, um hacker pode criar um botão falso que se pareça com o botão “curtir” em um site de mídia social. Quando os usuários clicam nele, eles podem gostar de uma página sem saber ou postar conteúdo prejudicial. Embora isso possa parecer uma brincadeira inofensiva, o clickjacking pode ser usado para fins mais maliciosos, como infectar o computador de um usuário com malware ou roubar informações confidenciais.
Dado o dano potencial que o clickjacking pode causar, grandes recompensas que relatam casos podem ser muito benéficas para uma organização.
Minha empresa não oferece recompensas por bugs. Precisa?
Como um relatório de recompensas de bugs pode trazer benefícios financeiros tanto para o caçador de recompensas quanto para a organização, o primeiro geralmente não espera um convite para caçar bugs e adota uma abordagem mais proativa. Isso significa que você pode receber relatórios de recompensas mesmo que não tenha um programa formal de recompensas de bugs implementado. Esta prática, onde um relatório não é solicitado com um pedido de dinheiro é muitas vezes referido como uma “recompensa de implorar”.
Então qual é o problema?
Há uma tendência crescente em relatórios falsos de recompensas de bugs porque os indivíduos estão usando ferramentas de varredura para gerar “problemas” e, em seguida, sinalizando-os para o maior número possível de organizações sem considerar o risco real.
Enquanto alguns parecerão falsos, outros relatórios podem ser sofisticados o suficiente para enganar uma organização em milhares de dólares. E ao ser vítima, você não paga apenas uma recompensa imerecida; você também mostra ao caçador de recompensas que possui conhecimento limitado em segurança, uma fraqueza que eles provavelmente voltarão e explorarão.
Claro, fechar as portas e ignorar todos os relatórios de recompensas de bugs não é a resposta. Existem pessoas genuinamente boas por aí que estão tentando ajudar, e sua descoberta pode economizar muito sofrimento e despesas para sua empresa.
Então, como você sabe se um relatório de recompensa de bug é genuíno, especialmente se você não é um profissional de segurança ou não tem uma equipe de segurança?
Como identificar um relatório falso de recompensa de bug de clickjacking?
Quando esses relatórios de pessoas que se posicionam como especialistas em segurança aparecem, pode ser difícil determinar o que é real e o que é falso, mas existem empresas que podem realizar análises de relatórios de recompensas de bugs para lhe dar essa paz de espírito. Isso é oferecido por determinados provedores de verificação de vulnerabilidades, que, como parte de seu serviço, também executarão uma vigilância contínua sobre seus sistemas para identificar, analisar e corrigir vulnerabilidades críticas mais rapidamente.
A Intruder , que oferece esse serviço e tem ajudado os clientes a descobrir relatórios falsos de recompensas de bugs de clickjacking há anos, viu um aumento nos casos recentemente. Apenas algumas semanas atrás, um de seus clientes Vanguard foi notificado de um “relatório de vulnerabilidade” anônimo. O repórter alegou ser capaz de contornar suas proteções de clickjacking usando algum JavaScript disponível publicamente, mas graças ao profundo conhecimento da equipe Vanguard dos sistemas do cliente, foi capaz de descartar o relatório como falso muito rapidamente.
Há também algumas coisas que você pode procurar para identificar um relatório falso:
- Relevância para sua situação. Se for um relatório de recompensa de bug de alta qualidade, ele se referirá a um sistema, página ou programa que sua organização usa e será específico em seus detalhes.
- Explicação do impacto. Um verdadeiro caçador de recompensas de bugs terá se esforçado para obter sua recompensa e será capaz de demonstrar que a vulnerabilidade encontrada é mais cara para você do que sua “taxa”. Quanto mais informações eles puderem fornecer sobre o impacto da vulnerabilidade em termos de tamanho e implicações para seu site e organização, melhor.
- Estrutura do relatório. Alguém executando um e-mail em massa com relatórios falsos de recompensas de bugs provavelmente usará um modelo para seus relatórios e poderá usar termos genéricos que são irrelevantes para o seu negócio.
- Termos de pagamento. Se um caçador de recompensas pedir pagamento adiantado sem fornecer detalhes de suas descobertas, isso é uma bandeira vermelha. Você pode responder dizendo que não pode oferecer uma recompensa sem ver o relatório primeiro e ver se eles respondem, ou pode obter a ajuda de um especialista como o Intruder, que aconselhará o melhor curso de ação.
- Aderência às suas políticas. Veja a configuração de uma caixa de correio de segurança especificada e introduza uma política por meio de um arquivo security.txt que indica que você só deve revisar os relatórios de recompensas enviados para esse endereço.
- Copiadores. Outra boa maneira de identificar uma recompensa de pedido é procurar instâncias on-line em que outras empresas estejam recebendo os mesmos relatórios. Um relatório de recompensa de bug genuíno será exclusivo para seus sistemas e situação.
Ser vítima de um relatório falso de recompensa de bug pode fazer você perder dinheiro e prepará-lo para uma enxurrada de novos relatórios falsos, ou pior, ataques, no futuro. Evite esses problemas contando com varreduras automatizadas contínuas e uma equipe de profissionais de segurança especializados ao seu lado, de uma empresa como a Intruder . Sua capacidade de investigar mais profundamente e validar possíveis pontos fracos pode ter um enorme impacto em seus negócios.
Este artigo é uma readução de: https://thehackernews.com/2022/05/fake-clickjacking-bug-bounty-reports.html (Autor: )
