Scraping the Barrel: Meta își extinde programul de recompense

Meta și-a extins programul de recompensare a erorilor pentru a-i recompensa pe cercetătorii de securitate care descoperă noi modalități de a efectua atacuri de tip scraping concepute pentru a colecta informații despre utilizatorii Facebook.

„Știm că activitatea automatizată concepută pentru a răzui datele publice și private ale oamenilor vizează fiecare site web sau serviciu”, spune Meta în anunț. „Știm, de asemenea, că este un spațiu extrem de adversar în care scrapers – fie că este rău intenționat apps, site-uri web sau scripturi — își adaptează constant tacticile pentru a evita detectarea ca răspuns la apărările pe care le construim și le îmbunătățim.”

Așa că compania a decis să invite Hacker Plus membrii din ligile Gold, Platinum și Diamond să trimită erori care pot fi exploatate pentru a răzui datele utilizatorilor Facebook. Meta spune că „căută în mod special să găsească bug-uri care să permită atacatorilor să ocolească limitările de scraping pentru a accesa date la o scară mai mare decât intenționează produsul”, astfel încât să poată minimiza costul atacurilor lor.

„Din cunoștințele noastre, acesta este primul program de recompensă pentru bug-uri din industrie”, spune Meta. „Vom depune eforturi pentru a răspunde feedback-ului de la cei mai buni vânători de recompense înainte de a extinde domeniul de aplicare la un public mai mare.”

Dar compania nu răsplătește doar cercetătorii de securitate care găsesc erori care pot fi exploatate pentru a efectua atacuri scraping. Meta îi va recompensa, de asemenea, pe cei care îl alertează cu privire la seturi de date care au fost deja eliminate din serviciul său și puse la dispoziție publicului. În acest fel, poate funcționa pentru a preveni astfel de atacuri, atenuând și impactul scraping-ului care a avut loc deja.

Această extindere a programului de recompense de date are și restricții. „Vom recompensa rapoartele bazelor de date neprotejate sau deschise publice care conțin cel puțin 100,000 de înregistrări unice de utilizatori Facebook cu PII sau date sensibile (de exemplu, e-mail, număr de telefon, adresă fizică, afiliere religioasă sau politică)”, spune Meta. „Setul de date raportat trebuie să fie unic și să nu fie cunoscut sau raportat anterior către Meta.”

Compania spune că va contacta furnizorii de găzduire, cum ar fi Amazon Web Services, Box și Dropbox, după caz, pentru a elimina informațiile răzuite de pe platformele lor. De asemenea, intenționează să extindă domeniul de aplicare al acestui program pentru a include cantități mai mici de informații după ce primește feedback de la cercetătorii care descoperă și dezvăluie aceste date mai mari.

Meta spune că nu dorește să încurajeze cercetătorii să colecteze ei înșiși datele plătindu-i direct pentru dezvăluirile lor, desigur, așa că, în schimb, va „răsplăti rapoartele valide ale seturilor de date răzuite sub formă de donații de caritate către organizațiile nonprofit alese de cercetătorii noștri. ” Deoarece compania asortează plățile cu recompense cu organizațiile de caritate, suma plătită organizațiilor nonprofit va fi mai mare.