Scraping the Barrel: Meta utvider Bounty-programmet

Meta har utvidet sitt bug bounty-program for å belønne sikkerhetsforskere som oppdager nye måter å utføre skrapingangrep designet for å samle informasjon om Facebook-brukere.

"Vi vet at automatisert aktivitet designet for å skrape folks offentlige og private data retter seg mot hver nettside eller tjeneste," sier Meta i sin kunngjøring. "Vi vet også at det er et svært motstridende område hvor skrapere - det være seg ondsinnede apps, nettsteder eller skript – tilpasser stadig taktikken deres for å unngå oppdagelse som svar på forsvaret vi bygger og forbedrer.»

Så selskapet bestemte seg for å invitere Hacker Plus medlemmer i Gold-, Platinum- og Diamond-ligaene for å sende inn feil som kan utnyttes til å skrape Facebook-brukerdata. Meta sier at det spesifikt "søker etter å finne feil som gjør det mulig for angripere å omgå skrapingbegrensninger for å få tilgang til data i større skala enn produktet var tiltenkt," slik at de kan minimere kostnadene for angrepene sine.

"Så vidt vi vet, er dette det første skrapefeil-premieprogrammet i bransjen," sier Meta. "Vi vil jobbe for å gi tilbakemeldinger fra våre beste dusørjegere før vi utvider omfanget til et større publikum."

Men selskapet belønner ikke bare sikkerhetsforskere som finner feil som kan utnyttes til å utføre skrapingangrep. Meta vil også belønne de som varsler den om datasett som allerede er skrapet fra tjenesten og gjort tilgjengelig for allmennheten. På den måten kan det fungere for å forhindre slike angrep, samtidig som det reduserer virkningen av skraping som allerede har funnet sted.

Denne utvidelsen av datapremieprogrammet har også begrensninger. "Vi vil belønne rapporter om ubeskyttede eller åpent offentlige databaser som inneholder minst 100,000 XNUMX unike Facebook-brukerposter med PII eller sensitive data (f.eks. e-post, telefonnummer, fysisk adresse, religiøs eller politisk tilhørighet)," sier Meta. "Det rapporterte datasettet må være unikt og ikke tidligere kjent eller rapportert til Meta."

Selskapet sier at det vil kontakte vertsleverandører som Amazon Web Services, Box og Dropbox etter behov for å få den skrapte informasjonen fjernet fra plattformene deres. Den planlegger også å utvide omfanget av dette programmet til å inkludere mindre mengder informasjon etter at det har fått noen tilbakemeldinger fra forskere som oppdager og avslører disse større datamengdene.

Meta sier at de ikke ønsker å oppmuntre forskere til å skrape data selv ved å betale dem direkte for avsløringene deres, så det vil i stedet «belønne gyldige rapporter om skrapte datasett i form av veldedige donasjoner til ideelle organisasjoner etter våre forskeres valg. ” Fordi selskapet matcher dusørutbetalinger til veldedige organisasjoner, vil beløpet som betales til de ideelle organisasjonene være høyere.