Comments 55
Когда меня динамили в российском представительстве киа "не знаю где ваша машина", я на ломаном английском написал корейцам. На следующий день у меня появился vin автомобиля в Корее, о чем мне сообщил удивленный российский менеджер по продажам. Резюме: в сложных случаях писать в головную компанию. Они заинтересованы в сохранении своего реноме.
Я решил проверить сайты дилеров, их довольно много на территории РФ, но за 10 минут получил список из 20 сайтов, от которых я могу получить и стереть данные.
Теперь если что то пропадет они официально знают на кого в суд подать? А различные не чистые на руку граждане в компании могут закосить под дурака чтобы свои косяки прикрыть неожиданной атакой или сбоем?
Пришёл вопрос «и что нам с этим делать»?
И действительно.
А на той стороне человек ни в зуб ногой в веб разработке, даже не понимающий что ему прислали.
У одного из инструментов для заработка денег вылезла проблема — наверняка это должно волновать кого-то ещё?
PS примерно тот же вопрос задали айтишники РЖД, когда подруга-тестер прислала им кейс невозможности заказать билеты с сайта — «Скажите, а как нам это поправить?»
В любом случае, чем мог — тем помог, если бизнесу пофиг или он не учитывал, что из внешних источников приходит информация об ошибках — это уже не моя проблема.
А нельзя связаться с контактами, которые вы нашли, найти адвоката и за 33%/33%/33% подать коллективный иск к компании на пару лимонов за неправильное обращение с персональными данными? Это ж отличный легальный заработок.
ИМХО схема должна быть легко обыгрываемой:
- данный баг сливается анонимному "плохому ITшнику"
- который выставляет данные людей из иска в открытом доступе или "пакостит" им каким-либо незлым, в основном моральным способом — для доказательств морального и материального ущерба
- нанимается "хороший" ITшник, который доказывает, что есть брешь в IT и находит не только людей из иска, а и кучу других.
- иск к компании в суд со всеми доказательствами на компенсацию всех расходов, морального и материального ущерба "пострадавших" + штраф.
Тогда в следующий раз будут быстрее реагировать и вы не зря старались. В США это б быстро сделало вас миллионером — там такие вещи просто так не пропадают.
Одно это в США сделает вас не миллионером, а подсудимым. Заработать на таких вещах в общем случае как минимум непросто, и получается в редких случаях, когда компания а) адекватна и б) имеет желание сотрудничать. Говорю по личному опыту общения с платежными системами на разные интересные темы.
Не надо удивляться, почему офдилер так прохладно относится к этой теме. Производитель авто очень часто навязывает им свое "типовое" решение, без всякой возможности как то повлиять на него (доработки, кастомизация и т.п.) Отчасти их ответы можно перевести на обычный язык так: " вот кто это создал, тот пусть и разбирается"
Вы хотите слишком быстрой реакции. В крупных компаниях пока заявку зарегистрируют, пока на подпись принесут, пока ответственный сотрудник до нее дойдет, потом окажется, что делается это все на аутсорсе, пока посовещаются, будут долго выяснять что с этим делать, кто будет платить и вот тогда спустят до программиста/devops и то не факт что с пометкой "критикал".
У нас (мы правда не IT) письмо из соседнего кабинета можно неделют ждать.
Совершенный контраст был у меня недавно с МТС. Новый тариф сделан как-то с сильными изменениями биллинга и настройки должен переделывать кто-то по заявке где-то в колцентре или не знаю где. Причем даже просто активация нового биллинга заняла чуть ли не 15 минут, когда ремонтник позвонил в колцентр. Потом еще какие-то заявки должны были отработать, поступали странные сообщения с упоминанием виртуальных номеров (видимо в биллинге интернет на виртуальный номер?). В общем, не все сработало. Пришлось кучу раз звонить и несколько раз ходить в центр обслуживания. Как раз таки пример, когда куча работы, которую можно сделать автоматизировано, отдают колценру и получают кучу исключительных ситуаций, когда кто-то где-то недопонял, кто-то недозаполнил, а про причины всего этого другие люди строят догадки, потому что не знают. А ведь не все такие терпеливые как я. Явно теряются клиенты и работники тратят кучу времени. Но я не уверен насколько этот случай «интересен», по-моему явное отсутствие управления.
Или как говорят с алмазами: нашел — выбрось. Ибо больше проблем чем пользы.
Не ну ясно дело их взломают, но как бы какое Вам то дело?
- Если упираться на кодекс, то можно сказать гражданский долг.
- Тут и не бралось, тут просто сказали где лежит.
- Дело не в том, что взломают или нет, в последнее время у меня телефон разрывается от спама, не будем уточнять что есть софт, а в общем. Тут могут быть конкретные действия к негативным последствиям. Зачем расширять публичные базы с информацией о вас? Одним запросом про авто, вы говорите, что у вас есть деньги.
Тут не только акцент к данной проблеме текущей организации, а к вопросу в общем.
У нас же пока основная проблема [и враг государства номер один] это Телеграм, а не компании с плохими политиками/процессами и безответственными разработчиками/админами.
А вот если бы каждый мог подать в суд за разглашение данных с высоким шансом получить тысяч двести рублей за разглашение данных, то ситуация бы резко изменилась.
Но увы, риск менеджмент пока что может этот сценарий игнорировать, как очень маловероятный.
Интересно, каково с ИБ у АвтоВАЗа? Лидер продаж, представлен во всех регионах, то есть персональных данных должно быть много. Мне в начале 2016 года, то есть, через полгода после приобретения машины, звонили с коллцентра и интересовались насчёт впечатлений от машины, есть ли проблемы и т. д. Потом звонили ещё пару раз примерно с годичным интервалом, то есть, данных о клиентах должно быть немало.
Сами сайты были сделаны на opensource CMS, почта обратной связи, если не ошибаюсь, была настроена на маркетолога. Но, если туда попадали непонятные для маркетолога письма или запросы, она сразу приходила с этим к нам. Если звонили на ресепшн с подобным — тоже сразу переводили к нам. Персональные данные на самом сайте не хранились, все сразу уходило на почту РОПов, вся чувствительная информация была в 1С.
WHOIS доменов был настроен на ИТ-отдел, туда ничего криминального за годы моей работы не приходило.
Головные офисы бренда не особо «парились» насчет технической реализации и безопасности сайтов дилеров, им было главное чтобы контент отражал актуальные предложения и акции.
Питерские дилеры? Наглые конторы, заточенные под навязывание и чуть не обман посетителей, не брезгующих рассылкой спама после клятвенные заверений, что рассылок никогда не будет — и вы думаете, что вы через них решите ваши проблемы?
Вот поэтому я и ~~ненавижу ~~ не люблю иметь дела с людьми в поддержке, если бы подобным занималась автоматика, сообщения поддержки попадали бы куда надо. Даже тупой скрипт проверяющий сообщение на ключевые слова смог бы понять, что это сообщение надо переадресовать в IT отдел по безопасности и тп
Рекомендую кейс: нашли баг => отправили вендору на е-маил => выждали необходимое количество дней (мораль, закон) => слили в паблик (на хабр или хакерские форумы) с пометкой о снятии с себя ответственности. И пусть заработают хакеры на этом, значит :)
Почему белошляпник должен бегать за компанией? Умолять, объяснять? Звонить 10 раз в колл-центр? Должно быть наоборот.
Я читал про историю того человека и Steam, но полноты картины ради опишу свой случай:
Заметил сеть бот-аккаунтов для фишинга, они использовали баг в предпросмотре ссылок на Steam Community сайте: обычно добавляется домен-цель (somelink [example.com]), а они видимо URL-Regex обошли (стало: somelink [.]) и пользовались этим для фишинга.
Из интереса, потратив пару часов смог воспроизвести их вариант и отписался на security@. Через полтора дня мне ответили, сначала видно я непонятно объяснил, но человек на том конце разобрался, и спустя 50 минут после его ответа фикс докатился до серверов в проде.
Насчет бежать и умолять — согласен. С тех пор репортил фишинг всеми возможными способами (регистраторы, хостинг, SSL cert issuer, Google Safebrowsing), по началу помогало, но самые банальные противодействия с "той" стороны помогли против "девочек-саппортов"; reg.ru откровенно пофиг на происходящее, а своё время мне тоже дорого. Дурака не убережёшь.
И это при том, что мы первые заметила данную особенность дилерских сайтов, о чем сообщили нескольким конкурентам и импортеру, включая конкретное лицо, занимающееся разработкой и сопровождением дилерской сборки. Но, как уже писали выше, всем срать.
Как Hyundai данные оберегал