Соскребая бочку: Meta расширяет свою программу вознаграждений

Meta расширила свою программу вознаграждения за обнаружение ошибок, чтобы вознаграждать исследователей безопасности, которые открывают новые способы проведения парсинг-атак, предназначенных для сбора информации о пользователях Facebook.

«Мы знаем, что автоматизированная деятельность, предназначенная для сбора общедоступных и личных данных людей, нацелена на каждый веб-сайт или службу», — говорится в отчете Meta. объявление. «Мы также знаем, что это очень враждебное пространство, где скребки — будь то вредоносные apps, веб-сайты или скрипты — постоянно адаптируют свою тактику, чтобы избежать обнаружения в ответ на средства защиты, которые мы создаем и улучшаем».

Поэтому компания решила пригласить Хакер Плюс членам Золотой, Платиновой и Бриллиантовой лиг сообщать об ошибках, которые можно использовать для очистки данных пользователей Facebook. Meta говорит, что специально «ищет ошибки, которые позволяют злоумышленникам обходить ограничения парсинга для доступа к данным в большем масштабе, чем предполагалось продуктом», чтобы они могли минимизировать стоимость своих атак.

«Насколько нам известно, это первая в отрасли программа поощрения обнаружения ошибок», — говорит Мета. «Мы будем работать над отзывами наших лучших охотников за головами, прежде чем расширить сферу охвата для более широкой аудитории».

Но компания вознаграждает не только исследователей безопасности, которые находят ошибки, которые можно использовать для проведения парсинг-атак. Meta также вознаградит тех, кто предупредит его о наборах данных, которые уже были извлечены из его сервиса и доступны для общественности. Таким образом, он может работать для предотвращения таких атак, а также для смягчения последствий уже проведенного парсинга.

Это расширение программы вознаграждения за данные также имеет ограничения. «Мы будем вознаграждать сообщения о незащищенных или открытых общедоступных базах данных, содержащих не менее 100,000 XNUMX уникальных записей пользователей Facebook с PII или конфиденциальными данными (например, адрес электронной почты, номер телефона, физический адрес, религиозная или политическая принадлежность)», — говорит Мета. «Сообщаемый набор данных должен быть уникальным и ранее не был известен или сообщался Meta».

Компания заявляет, что при необходимости свяжется с хостинг-провайдерами, такими как Amazon Web Services, Box и Dropbox, чтобы удалить полученную информацию с их платформ. Также планируется расширить рамки этой программы, включив в нее меньшие объемы информации после получения отзывов от исследователей, открывающих и раскрывающих эти большие массивы данных.

Meta заявляет, что не хочет поощрять исследователей самостоятельно собирать данные, платя им напрямую за их раскрытие, конечно, поэтому вместо этого она будет «вознаграждать достоверные отчеты об извлеченных наборах данных в виде благотворительных пожертвований некоммерческим организациям по выбору наших исследователей. ” Поскольку компания сопоставляет выплаты вознаграждения благотворительным организациям, сумма, выплачиваемая некоммерческим организациям, будет выше.