Wildberries запустила публичную программу багбаунти на Standoff 365

С 1 декабря пользователям платформы Standoff 365 доступна программа поиска уязвимостей в системах Wildberries за вознаграждение. В область исследования входят все ресурсы компании, включая сервисы для покупателей, продавцов, курьеров, а также для сотрудников складов и пунктов выдачи заказов. Помимо классической багбаунти, компания запускает программу с особым сценарием: багхантер, который получит полный доступ к личному кабинету тестового продавца, заработает полмиллиона рублей.

По данным Positive Technologies, 74% атак на организации из сферы торговли за первые три квартала 2023 года закончились утечкой конфиденциальной информации — прежде всего персональных (49%) и учетных (16%) данных. Чаще всего злоумышленники прибегали к использованию ВПО (48%), эксплуатации уязвимостей на внешнем периметре (45%) и социальной инженерии (29%). По словам экспертов, утечки в онлайн-ритейле характеризуются большим объемом скомпрометированных данных — и проблема будет только усугубляться. Поэтому компании этой сферы должны уделить особое внимание вопросам информационной безопасности, определению и верификации недопустимых для бизнеса событий.

Запуск публичной программы позволит крупнейшей цифровой ритейл-платформе проверить защищенность своих сервисов силами 7700 багхантеров, зарегистрированных на площадке Standoff 365 Bug Bounty, с разным опытом и инструментарием. В открытой программе Wildberries увеличила размеры вознаграждений, и за обнаруженные баги исследователи смогут заработать до 250 тысяч рублей. При этом за реализацию особо опасных сценариев, состоящих из нескольких этапов (например, за получение полного доступа к личному кабинету тестового продавца), компания готова выплатить этичным хакерам 500 тысяч рублей.

В 2023 году Wildberries участвовала в приватных мероприятиях Standoff Hacks, где багхантеры искали уязвимости в рамках закрытых программ, и выплатила вознаграждения на сумму более 4 миллионов рублей. Специалисты протестировали не только внешний периметр и веб-сервисы организации, но и умные замки, которые скоро начнут использоваться в пунктах выдачи заказов.