«ВКонтакте» будет платить за найденные на сайте и в приложениях уязвимости

«ВКонтакте» запустила программу вознаграждений за найденные на сайте соцсети и в её официальных приложениях для iOS, Android и Windows Phone уязвимости. Об этом сообщил операционный директор соцсети Андрей Рогозов.

Для приема информации об уязвимостях компания использует платформу HackerOne. По словам Рогозова, благодаря ей «весь процесс от нахождения уязвимости до её устранения и выплаты вознаграждения становится максимально быстрым и простым».

Ранее компания получала информацию о проблемах через встроенный сервис поддержки, пояснил AD представитель соцсети Георгий Лобушкин. Через HackerOne «удобно взаимодействовать, быстро переводя вознаграждения за найденные ошибки», отметил он.

Программа ограничена поиском технических уязвимостей в сервисах «ВКонтакте» и ее официальных мобильных приложениях. Минимальная награда — $100, потолок выплаты, по словам Лобушкина, не ограничен и зависит от важности уязвимости.

Согласно условиям программы, «ВКонтакте» не будет выплачивать награду за отсутствие защиты отдельных элементов без описания конкретных примеров негативных последствий. Также не учитывается «получение физического доступа к серверам/инфраструктуре, а также угрозы/причинение вреда сотрудникам компании».

Компания будет выплачивать награду только первому исследователю, который прислал сообщение о проблеме. Описание потенциального использования бага увеличит вероятность получения вознаграждения. В компании отмечают, что если уязвимость была использована против пользователей, то награда выплачиваться не будет.

В 2013 году хакеры Артем Дизычев и Олег Варнов нашли во «ВКонтакте» XSS-уязвимость, которая позволяла совершать действия от лица другого пользователя. В качестве благодарности за обнаруженную проблему они получили $5 тысяч в виде голосов — внутренней валюты соцсети.

В мае 2015 года казанский программист Камиль Хисматуллин обнаружил возможность получить прямую ссылку на любую фотографию в соцсети, в том числе скрытые и из личных сообщений. В качестве награды он получил 10 тысяч голосов (70 тысяч рублей).

Помимо «ВКонтакте», платформой HackerOne для приема уязвимостей пользуются Mail.Ru Group, Adobe, Slack, Twitter, Dropbox и другие компании. Согласно официальным данным, за все время существования площадки, компании-участницы выплатили около $3 млн 1432 хакерам.