Scraping the Barrel: Meta mở rộng chương trình tiền thưởng của nó

Meta đã mở rộng chương trình thưởng lỗi của mình để thưởng cho các nhà nghiên cứu bảo mật phát hiện ra những cách mới để tiến hành các cuộc tấn công cóp nhặt được thiết kế để thu thập thông tin về người dùng Facebook.

Meta nói trong thông báo. “Chúng tôi cũng biết rằng đó là một không gian có tính đối đầu cao, nơi những kẻ phá hoại - dù là độc hại apps, trang web hoặc tập lệnh - liên tục điều chỉnh các chiến thuật của họ để tránh bị phát hiện nhằm đáp lại các biện pháp phòng thủ mà chúng tôi xây dựng và cải thiện ”.

Vì vậy công ty quyết định mời tin tặc cộng các thành viên trong liên đoàn Vàng, Bạch kim và Kim cương gửi lỗi có thể bị lợi dụng để lấy dữ liệu người dùng Facebook. Meta nói rằng nó đặc biệt “tìm kiếm các lỗi cho phép kẻ tấn công vượt qua các giới hạn thu thập dữ liệu để truy cập dữ liệu ở quy mô lớn hơn sản phẩm dự kiến”, vì vậy chúng có thể giảm thiểu chi phí cho các cuộc tấn công của mình.

Meta cho biết: “Theo hiểu biết của chúng tôi, đây là chương trình tiền thưởng loại bỏ lỗi đầu tiên trong ngành. “Chúng tôi sẽ làm việc để giải quyết phản hồi từ những thợ săn tiền thưởng hàng đầu của chúng tôi trước khi mở rộng phạm vi đến nhiều đối tượng hơn”.

Nhưng công ty không chỉ thưởng cho các nhà nghiên cứu bảo mật, những người tìm ra lỗi có thể bị lợi dụng để tiến hành các cuộc tấn công. Meta cũng sẽ thưởng cho những người cảnh báo nó về các tập dữ liệu đã được loại bỏ khỏi dịch vụ của nó và cung cấp cho công chúng. Bằng cách đó, nó có thể hoạt động để ngăn chặn các cuộc tấn công như vậy đồng thời giảm thiểu tác động của việc cạo đã diễn ra.

Việc mở rộng chương trình tiền thưởng dữ liệu này cũng có những hạn chế. “Chúng tôi sẽ thưởng cho các báo cáo về cơ sở dữ liệu công khai không được bảo vệ hoặc công khai chứa ít nhất 100,000 hồ sơ người dùng Facebook duy nhất có PII hoặc dữ liệu nhạy cảm (ví dụ: email, số điện thoại, địa chỉ thực, đảng phái tôn giáo hoặc chính trị),” Meta nói. “Tập dữ liệu được báo cáo phải là duy nhất và chưa từng được biết đến hoặc chưa được báo cáo cho Meta.”

Công ty cho biết họ sẽ liên hệ với các nhà cung cấp dịch vụ lưu trữ như Amazon Web Services, Box và Dropbox nếu thích hợp để xóa thông tin cóp nhặt khỏi nền tảng của họ. Nó cũng có kế hoạch mở rộng phạm vi của chương trình này để bao gồm lượng thông tin nhỏ hơn sau khi nhận được một số phản hồi từ các nhà nghiên cứu khám phá và tiết lộ những khối dữ liệu lớn hơn này.

Meta cho biết họ không muốn khuyến khích các nhà nghiên cứu tự xử lý dữ liệu bằng cách trả tiền trực tiếp cho họ để tiết lộ thông tin của họ, vì vậy, thay vào đó, Meta sẽ “thưởng cho các báo cáo hợp lệ về bộ dữ liệu cóp nhặt dưới hình thức quyên góp từ thiện cho các tổ chức phi lợi nhuận do các nhà nghiên cứu của chúng tôi lựa chọn. ” Bởi vì công ty đối sánh các khoản thanh toán tiền thưởng cho các tổ chức từ thiện, nên số tiền trả cho các tổ chức phi lợi nhuận sẽ cao hơn.