Uma grande loja online russa Ozon anunciou o lançamento de um programa de recompensa na plataforma HackerOne por detectar erros e vulnerabilidades na operação de seus serviços online. Este programa foi o primeiro entre as empresas russas no campo do comércio eletrônico e, na primeira etapa, a Ozon planeja investir mais de 3 milhões de rublos no trabalho com a comunidade de hackers.
Segundo o site, especialistas em segurança, não apenas da Rússia, mas também de outros países, podem participar do programa de busca de vulnerabilidades. A recompensa por cada furo detectado dependerá do grau de influência no serviço, dano potencial, qualidade do relatório e outros fatores. Por exemplo, para o XSS (script entre sites) encontrado, o Ozon pode pagar cerca de 17 000 ₽ e, por questões mais graves (por exemplo, injeções, execução remota de código) – até 120 000 ₽.
Ozon acredita que o lançamento do programa permitirá monitoramento de segurança 24 horas por dia e complementará o trabalho da equipe de laboratório de TI da Ozon. Agora, mais de 1000 engenheiros trabalham neste departamento e cerca de 3,5 milhões de pessoas usam o site e os aplicativos da Ozon todos os dias.
«Apoiamos ativamente uma mudança na cultura de interação entre fornecedores e pesquisadores de segurança em direção a um diálogo mais civilizado. O programa de recompensas do Bug é o necessário para uma empresa moderna de Internet que se preocupa com a segurança da informação e, é claro, nos próximos meses, planejamos expandir a lista de serviços para participar do programa, a fim de interagir melhor com a comunidade de hackers ”, disse o diretor da Ozon Information Security Alexander Bolotov.
Uma abordagem séria para fortalecer as medidas de segurança é um passo bem-vindo. A propósito, em 2018, a Ozon vazou mais de 450 mil endereços de email e senhas de usuários. Os programas de pesquisa de vulnerabilidade estão disponíveis em muitas das principais empresas de tecnologia da informação do mundo, incluindo Amazon, Google, Facebook e assim por diante. Na Rússia, por exemplo, Yandex, Mail.ru e Qiwi oferecem seus próprios programas.