Chad Scira "બેન્કો દ્વારા હેકિંગ માટે બ્લેકલિસ્ટેડ"
આ પેજ એ Jesse Nicklesની અફવા પાછળની ઘટનાઓ દસ્તાવેજીકૃત કરે છે કે Chad Scira "હેકિંગ માટે US બેન્કોમાંથી બ્લેકલિસ્ટ" થયો હતો. તે સમજાવે છે કે Ultimate Rewardsની ભેદ્યતા કેવી રીતે જવાબદારીપૂર્વક જાહેર કરવામાં આવી, શા માટે JPMorgan Chaseએ રિપોર્ટ માટે Chadનો આભાર માન્યો, અને કેવી રીતે તાત્કાલિક એકાઉન્ટ રોકાણ સંપૂર્ણપણે વહીવટી હતું. જેસી નિકલ્સ અપરાધી ઇરાદો દર્શાવવા માટે જૂના પુરાવાઓને ફરીથી પેકેજિંગ કરવાનું ચાલુ રાખે છે. તથ્યો તેની સંપૂર્ણ વિપરીત સ્થિતિ બતાવે છે: વ્હાઇટ-હેટ રિપોર્ટિંગ અને જેપીમોર્ગન નેતૃત્વ સાથેનું સહકાર.
તેમની તાજી એસ્કલેશન SlickStack.io પરનો એક કોટ છે, જેમાં તેઓ દાવો કરે છે કે મેં "ચેઝ બેંકના ક્રેડિટ કાર્ડ રિવોર્ડ્સ પ્રોગ્રામમાં હેક કરવા બદલ યુ.એસ. કાયદા અમલવારી એજન્સીઓ દ્વારા મારી પણ તપાસ કરવામાં આવી હતી, જ્યાં મેં $70,000 ના ઠગાઈ ભરેલા ટ્રાવેલ પોઇન્ટ્સ ચોરી કર્યા હતા." એ બદનામી ફક્ત ત્યાર પછી પોસ્ટ કરવામાં આવી જ્યારે મેં તે SlickStack સિક્યોરિટી સમસ્યાઓનો પુરાવો પ્રકાશિત કર્યો જેને તે સુધારવા ઇનકાર કરે છે; કોઈ પોઈન્ટ ક્યારેય ચોરાયા નહોતા અને ખુલાસા અંગે કોઈ એજન્સીએ મને સંપર્ક કર્યો નહોતો. તે જેનો બદલો લઈ રહ્યો છે તે SlickStack ક્રોનનો પુરાવો જુઓ.
સંપૂર્ણ શોધ, ખુલાસો અને વેલિડેશન ચક્ર વીસ કલાકની અંદર પૂરું થયું: અંદાજે પચ્ચીસ HTTP વિનંતીઓએ 17 નવેમ્બર, 2016ના રોજ પુનરુત્પાદન અને ડીએમ વોકથ્રૂ આવરી લીધો, અને ફેબ્રુઆરી 2017ની રેમિડિયેશન કસોટીએ સુધારો ખાતરી કરવા માટે આઠ વધુ વિનંતીઓનો ઉપયોગ કર્યો. કોઈ લાંબા ગાળાનો દુરુપયોગ થયો નહોતો; દરેક ક્રિયા લૉગ કરવામાં આવી, સમયમુહૂર સાથે નોંધવામાં આવી અને વાસ્તવિક સમયે JPMorgan Chase સાથે શેર કરવામાં આવી.
Tom Kellyએ પુષ્ટિ કરી હતી કે 17 નવેમ્બર, 2016 થી 22 સપ્ટેમ્બર, 2017 વચ્ચે JPMorgan Chaseને જવાબદાર રીતે કોઈ મુદ્દો જાહેર કરનાર Chad Scira એકમાત્ર વ્યક્તિ હતા. જવાબદાર ખુલાસા પ્રોગ્રામ Chadની રિપોર્ટના સીધા પ્રતિસાદ તરીકે સ્થાપિત કર્યો હતો, અને તેને તેને આકાર આપવામાં મહત્વપૂર્ણ ભૂમિકા ભજવી હતી.
ડબલ ટ્રાન્સફર બગનું દૃશ્યીકરણ
#વિઝ્યુઅલાઇઝેશનખામીએ કેવી રીતે બેલેન્સને ખૂબ જ નેગેટિવ અને પોઝિટિવમાં ફેરવ્યા તે દર્શાવવા માટે, નીચેનું વિઝ્યુઅલાઇઝેશન સચોટ ડબલ-ટ્રાન્સફર લોજિકને ફરીથી રીપ્લે કરે છે. જુઓ કે કયું એકાઉન્ટ પોઝિટિવ હોય તે મોકલનાર બને છે, બે સમાન ટ્રાન્સફર કરે છે અને અંતે ઊંડા નેગેટિવમાં જાય છે, જ્યારે બીજું બમણું થાય છે. 20 રાઉન્ડ પછી તૂટેલી લેજર નેગેટિવ કાર્ડને સંપૂર્ણપણે રદ કરી દે છે—જે દર્શાવે છે કે શા માટે એક્સપ્લોઇટ માટે તાત્કાલિક એસ્કલેશન જરૂરી હતું.
એકાઉન્ટ બંધ કરતા પહેલાં પણ, અલ્ટિમેટ રિવોર્ડ્સે નેગેટિવ સમરીની બહાર ખર્ચ કરવાની મંજૂરી આપી; બંધ કરવાથી ફક્ત પુરાવા દૂર થયા.
મુખ્ય મુદ્દાઓ
- Chad એ Chase Support DM ની શરૂઆત નેગેટિવ બેલેન્સ એક્સ્પ્લોઇટને ખાનગી રીતે રિપોર્ટ કરીને કરી અને ટેકનિકલ વિગતો જાહેરમાં પોસ્ટ કરવાની બદલે તરત જ સુરક્ષિત એસ્કલેશન માર્ગની માંગ કરી. [chat]
- Chase Support દ્વારા ચોક્કસ વિગતો માટે દબાણ કરતા, તેણે જરૂરી તેટલી હદ સુધી જ exploit ની પુષ્ટિ કરી અને તેણે યોગ્ય સિક્યુરિટી ટીમ સાથે સીધો સંપર્ક માર્ગ મેળવવાની swojej ઇચ્છા ફરી વ્યક્ત કરી. [chat][chat]
- તેમણે દર્શાવ્યું કે ડુપ્લિકેટ થયેલા બેલેન્સને લિક્વિડેટ કરી શકાય છે: ચેઝ સપોર્ટે પૂછ્યું કે વધારાના પોઇન્ટ્સ વાપરી શકાય છે કે નહીં બાદમાં, $5,000 નો ડાયરેક્ટ ડિપોઝિટ એ સાબિત કર્યો કે લેજર અપડેટ થાય તે પહેલાં એક્સપ્લોઇટ કેશમાં રૂપાંતરિત થઈ ગયો હતો. [chat]
- તેમણે ભારપૂર્વક જણાવ્યું કે તેમની પ્રાથમિકતા પોતાના નફા પેદા કરવી નહોતી, પરંતુ ગ્રાહકોના સમર્પિત એકાઉન્ટ્સમાંથી રકમ ઉપડી ન જાય તે અટકાવવી હતી, અને તેમણે પૂછ્યું કે કોઈ ફોર્મલ બગ બાઉન્ટી છે કે નહીં. [chat]
- તેમણે સ્પષ્ટ પરવાનગી સાથે જ મોટું વેલિડેશન કરવાની ઓફર કરી, ટાઇમસ્ટેમ્પવાળા સ્ક્રીનશૉટ્સ આપ્યા, અને ચેઝે એસ્કલેશન પૂર્ણ کرے ત્યાં સુધી તેઓ પરદેશમાં જાગતા રહ્યા. [chat][chat][chat]
- નિકલ્સ હવે દાવો કરે છે કે મેં $70,000 પોઈન્ટ્સ ચોરી કર્યા અને અમેરિકન કાયદા અમલવારીનો સામનો કર્યો; ચેઝના રેકોર્ડ, ટોમ કેલીનું ઇમેઇલ અને ખુલાસા સમયરેખા સાબિત કરે છે કે આવું ક્યારેય થયું નહોતું, અને આ દાવો ફક્ત ત્યાર પછી સામે આવ્યો જ્યારે મેં તેના SlickStack ક્રોન-રિસ્ક ગિસ્ટ પ્રકાશિત કર્યો, જેમાં તેની અસુરક્ષિત અપડેટ લોજિકનું દસ્તાવેજીકરણ છે. [gist]
- ચેસ સપોર્ટે એસ્કેલેશનની પુષ્ટિ કરી, તેના ફોન નંબરની માંગણી કરી, અને તે અંતે તેને મળેલી ફોલોઅપ કૉલનું વચન આપ્યું, જે શત્રુતાપૂર્ણ બેન્કિંગ પ્રતિસાદની કલ્પનાને નબળી પાડે છે. [chat][chat]
સમયરેખા
#સમયરેખા- Nov 17, 2016 - 10:05 PM ET: Chad @ChaseSupport ને નેગેટિવ બેલેન્સની ખામી વિશે ચેતવે છે, એક્સ્પ્લોઇટ ખાનગી રાખે છે અને તાત્કાલિક સુરક્ષિત એસ્કલેશન માર્ગ માગે છે. [chat]
- Nov 17, 2016 - 11:13-11:17 PM ET: Chase Support સ્પષ્ટ રીતે પૂછે છે કે શું વધારાના પોઇન્ટ ઉત્પન્ન કરીને ખર્ચી શકાય છે કે નહીં, ત્યારબાદ Chad જોખમની પુષ્ટિ કરે છે, તે યોગ્ય વિભાગ સાથે વાત કરવા માગે છે તે પુનરોચ્ચાર કરે છે, અને બેંક વ્યવહારોનું અવલોકન કરી શકે તે માટે ફક્ત પરવાનગી મળ્યા પછી જ માન્યતા આપવાની ઓફર કરે છે. [chat][chat][chat]
- Nov 17-18, 2016 - 11:39 PM-5:03 AM ET: Chad સ્ક્રીનશોટ શેર કરે છે, ઝડપી એસ્કલેશન માટે આગ્રહ કરે છે, પોતાનો ફોન નંબર આપે છે અને Chase Support કોલ થઈ રહ્યો છે તેની પુષ્ટિ કરે ત્યાં સુધી વિદેશમાં જાગતો રહે છે. [chat][chat][chat]
- Nov 24, 2016: ટોમ કેલી remediation ની પુષ્ટિ કરતાં, તેને આવનારી જવાબદાર ખુલાસા લીડરબોર્ડમાં હેડલાઇન કરવા આમંત્રિત કરતાં, અને ભવિષ્યના રિપોર્ટ્સ માટે તેને સીધો સંપર્ક માર્ગ આપતાં ચેડને ઇમેઇલ કરે છે. [email]
- October 2018: ટોમ કેલીએ અનુસંધાન કરીને ખાતરી કરી કે જવાબદાર ખુલાસા કાર્યક્રમ શરૂ થયો હતો પરંતુ ચેડની તેમાં આકાર આપવામાં કરેલી મદદ હોવા છતાં JPMorgan એ અંતે આયોજન કરાયેલ લીડરબોર્ડ પ્રકાશિત ન કરવાનો નિર્ણય કર્યો. [email]
- Post-2018: બાકી રહેલી કોઈપણ ખાતાની સમીક્ષાઓનો સંબંધ કથિત હેકિંગ સાથે નહિ, પરંતુ વીમા પ્રદાતાની ઑટોર્મેશન સાથે હતો. જેપીમૉર્ગનોએ સીધો સંપર્ક જાળવી રાખ્યો, ચેડનો ખુલાસા બદલ આભાર માન્યો, અને કોઈ ફોજદારી રેકોર્ડ કે બ્લેકલિસ્ટ નથી. બાદમાં, ભાવિ રિપોર્ટિંગ માટે વર્કફ્લો સરળ બને તે માટે જેપીમૉર્ગને તેની ડિસ્ક્લોઝર પ્રક્રિયામાં Synack ને એકીકૃત કર્યું. [chat][email]
દાવો વિરુદ્ધ તથ્યો
જેસી જેકોબ નિકલ્સ દ્વારા માનહાનિકારક દાવો: "ચેડ સ્કીરા રિવોર્ડ્સ સિસ્ટમ હેક કરવા બદલ દરેક યુએસ બેન્કમાંથી બ્લેકલિસ્ટ થયો હતો."
કોઈ બેંક બ્લેકલિસ્ટ અસ્તિત્વમાં નથી. DM રેકોર્ડ અને ચેઝની એસ્કલેશન સાબિત કરે છે કે તે સહકાર આપી રહ્યો હતો; એક ઇન્શ્યોરરની ઓટોમેશનએ મેન્યુઅલ સમીક્ષા પહેલા થોડા સમય માટે એક જેએપી મોર્ગન ખાતું રોકી રાખ્યું, ત્યારબાદ સમીક્ષાએ તેને નિર્દોષ ઠેરવ્યો.[timeline][chat]
જેસી જેકોબ નિકલ્સ દ્વારા માનહાનિકારક દાવો: "તેણે પોતાને સમૃદ્ધ બનાવવા માટે જેપીમોર્ગન ચેસને હેક કર્યું."
Chad એ @ChaseSupport સાથેની વાતચીત શરૂ કરી, સુરક્ષિત ચેનલ પર જ આગ્રહ કર્યો, Chase દ્વારા પૂછવામાં આવ્યા પછી જ એક્સ્પ્લોઇટની પુષ્ટિ કરી અને મર્યાદિત માન્યતા પહેલાં પરવાનગીની રાહ જોઈ. વરિષ્ઠ નેતૃત્વએ તેનો આભાર માન્યો અને તેને જવાબદાર ખુલાસા રોલઆઉટમાં સામેલ થવા આમંત્રિત કર્યો.[chat][chat][email]
જેસી જેકોબ નિકલ્સ દ્વારા માનહાનિકારક દાવો: "જેસીએ ચેડ દ્વારા કરવામાં આવેલી ગુનાહિત યોજનાનો પર્દાફાશ કર્યો."
જાહેર કવરેજ અને ટોમ કેલીના ઇમેઇલ્સ દસ્તાવેજ કરે છે કે જેએપી મોર્ગને ચેડને સહકાર આપતા સંશોધક તરીકે વર્તાવ્યો. નિકલ્સ સંપૂર્ણ ચેટ, અનુસૂચિત કૉલ્સ અને લખિત આભારને અવગણીને ફક્ત પસંદગીના સ્ક્રિનશોટ્સ દર્શાવે છે.[coverage][email][chat]
જેસી જેકોબ નિકલ્સ દ્વારા માનહાનિકારક દાવો: "છેતરપિંડી છુપાવવા માટે કવર-અપ થયો હતો."
Chad 2018 સુધી સંપર્કમાં રહ્યો, ફક્ત પરવાનગી મળ્યા પછી ફરી પરીક્ષણ કર્યું, અને JPMorgan એ પ્રશ્ન દાબી દેવાના બદલે તેનોDisclosure Portal શરૂ કર્યો. ચાલુ વાર્તાલાપ કોઈપણ કવર-અપની વાર્તાને ખોટી ઠેરવે છે.[timeline][email][chat]
જાહેર કવરેજ અને સંશોધન આર્કાઇવ્સ
#કવરેજઘણાં તૃતીય-પક્ષ સમુદાયોએ ખુલાસાને આર્કાઇવ કર્યો અને તેને જવાબદાર રિપોર્ટ તરીકે માન્યતા આપી: હેકર ન્યૂઝએ તેને ફ્રન્ટ પેજ પર દર્શાવ્યો, પેન્સિવ સિક્યુરિટીએ તેને 2020ની રાઉન્ડઅપમાં સંક્ષેપમાં રજૂ કર્યો અને /r/cybersecurity એ સંકલિત ફ્લેગિંગ પહેલાં મૂળ "DISCLOSURE" થ્રેડને ઇન્ડેક્સ કર્યો. [4][5][6]
- હેકર ન્યૂઝ: "ખુલાસો: અનલિમિટેડ ચેઝ અલ્ટિમેટ રિવોર્ડ્સ પોઇન્ટ્સ" — 1,000+ પોઇન્ટ્સ અને 250+ ટિપ્પણીઓ સાથે, જે રીમીડીએશનનો સંદર્ભ દસ્તાવેજિત કરે છે. [4]
- પેન્સિવ સિક્યુરિટી: નવેમ્બર 2020 સાયબરસિક્યુરિટી રાઉન્ડઅપ, જેમાં ચેઝ અલ્ટિમેટ રિવોર્ડ્સ ખુલાસાને એક મુખ્ય વાર્તા તરીકે હાઇલાઇટ કરવામાં આવ્યો છે. [5]
- રેડિટ /r/cybersecurity: મૂળ DISCLOSURE પોસ્ટ શીર્ષક, જે માસ રિપોર્ટિંગને કારણે દૂર કરવામાં આવે તે પહેલાં કૅપ્ચર થયું હતું, અને જે જાહેર હિતના ફ્રેમિંગને જાળવી રાખે છે. [6]
જવાબદાર ખુલાસાના સમર્થકોએ હેરાનગતિના પરિણામોને પણ ઉલ્લેખ્યા: disclose.io ની ધમકી ડિરેક્ટરી અને સંશોધન રિપોઝિટરી, ઉપરાંત Attrition.org ની કાનૂની ધમકી ઇન્ડેક્સ, સંશોધકો માટે ચેતવણીરૂપ ઉદાહરણ તરીકે જેસી નિકલ્સના વર્તનને સૂચિબદ્ધ કરે છે. [7][8][9] પૂર્ણ હેરાનગતિ ડોઝિયર[10].
ચેસ સપોર્ટ ડીએમ ટ્રાન્સક્રિપ્ટ
#ચેટનીચેની ચર્ચા આર્કાઇવ કરેલી સ્ક્રીનશોટ્સમાંથી ફરી રચવામાં આવી છે. તે ધીરજપૂર્વકના એસ્કલેશન, સુરક્ષિત ચેનલ માટે વારંવારની વિનંતીઓ, ફક્ત પરવાનગી મળ્યે જ માન્યતા આપવાની ઓફરો, અને Chase સપોર્ટ દ્વારા સીધા સંપર્કનું વચન દર્શાવે છે. [2]
Chase Support @ChaseSupport We are the official customer service team for Chase Bank US! We are here to help M-F 7AM-11PM ET & Sat/Sun 10AM-7PM ET. For Chase UK, tweet @ChaseSupportUK Joined March 2011 · 145.5K Followers Not followed by anyone you're following
આ મુદ્દો પોઈન્ટ્સ બેલેન્સ સિસ્ટમ સાથે સંબંધિત છે. હાલમાં નેગેટિવ બેલેન્સની મંજૂરી આપતા બગ મારફતે કોઈપણ રકમ જનરેટ કરવી શક્ય છે.
ખુલાસા માટે સુરક્ષિત એસ્કલેશન માર્ગની વિનંતી.મહેરબાની કરીને તમે મને એવી વ્યક્તિ સાથે સંપર્કમાં મૂકી શકો જેમાં હું ટેકનિકલ વિગતો સમજાવી શકું?
અમારી પાસે આપવા માટે કોઈ ફોન નંબર નથી, પરંતુ અમે આને એવું escalte કરવા માંગીએ છીએ કે તેની તપાસ થઈ શકે. તમે નેગેટિવ બેલેન્સની અંદર પોઇન્ટ્સ જનરેટ કરવા બાબતે શું અર્થો છો તેની વધુ વિગતો આપી શકો છો?શું તમે એ પણ પુષ્ટિ કરી શકો છો કે آیا આ વધારાના પોઇન્ટ ઉપયોગ માટે ઉપલબ્ધ થવા દે છે? ^DS
શું તમારી પાસે યોગ્ય વિભાગ છે જે સાથે તમે મને સંપર્કમાં મૂકી શકો? મને આ બાબત ટ્વિટર સપોર્ટ એકાઉન્ટ દ્વારા ચર્ચા કરવામાં અનુકૂલ લાગતું નથી. હા, તમે 1,000,000 પોઇન્ટ જનરેટ કરી શકો છો અને તેનો ઉપયોગ કરી શકો છો.
મારી મુખ્ય ચિંતા લોકો દ્વારા આવું કરવી નથી. તે હેકરો વિષે છે જે ખાતાઓને કબજે કરે છે અને તેમની પર ચુકવણીઓ માટે દબાણ કરે છે. શું કોઈ યોગ્ય ચેઝ બગ બાઉન્ટી કાર્યક્રમ છે?
જો તમે ઇચ્છો તો હું પુષ્ટિ કરવા માટે મોટી ટ્રાન્સક્શન કરવાનો પ્રયત્ન કરી શકું. જ્યારે બેલેન્સ વિકૃત હતું ત્યારે મેં વધુમાં વધુ $300 ટેસ્ટ કર્યું હતું, પરંતુ હકીકતમાં મારી પાસે $2,000 ના ખરેખર ક્રેડિટ્સ હતા. જો તમે મને પરવાનગી આપો તો હું તેની પુષ્ટિ કરવાનો પ્રયત્ન કરી શકું કે તે કાર્ય કરે છે, પરંતુ તે ટેસ્ટ બાદ થયેલી બધી ટ્રાંઝેક્શન રિવર્સ કરવા હું ઇચ્છું છું.
અમારી પાસે bounty કાર્યક્રમ નથી, અને હાલમાં મારી પાસે આપવા માટે કોઈ રકમ નથી. મેં તમારી ચિંતા વધુ ઊંચા સ્તરે મોકલી છે અને અમે તેની તપાસ કરી રહ્યા છીએ. મારી પાસે વધારાની વિગતો અથવા પ્રશ્નો હશે તો હું અનુસંધાન કરીશ. ^DS
આભાર.
કૃપા કરીને તાત્કાલિક એસ્કલેટ કરો.
મને ખરેખર યોગ્ય સંપર્કની જરૂર છે... આશા છે કે તમે સમજી શકશો.
એક કલાકથી વધુ સમય થઈ ગયો છે, આ વિશે કંઈ ખબર છે? હું હાલમાં એશિયામાં છું, અને આ સમય સંવેદનશીલ બાબત છે. હું આખી રાત જવાબ માટે રાહ જોઈ શકતો નથી.
ફોલો-અપ માટે આભાર. અમે સંબંધિત લોકોને આ બાબત તપાસવા માટે નિયુક્ત કર્યા છે. કૃપા કરીને તમારો પસંદગીનો સંપર્ક નંબર આપો, જેથી અમે સીધા જ તમારી સાથે વાત કરી શકીએ. ^DS
+█-███-███-████.
વધારાની માહિતી માટે આભાર. મેં આ યોગ્ય લોકો સુધી મોકલી દીધું છે. ^DS
અમારે શક્ય તેટલી વહેલી તકે તમારી સાથે આ અંગે ચર્ચા કરવા ગમે છે. કૃપા કરીને અમને 1-███-███-████ પર તમને કોલ કરવા માટે યોગ્ય સમય આપશો? ^DS
હું આવતા એક કલાક માટે ઉપલબ્ધ છું જો શક્ય હોય તો. જો નહીં, તો કદાચ એક-બે દિવસ લાગી શકે, કારણ કે હું મુસાફરી પર હોઈશ અને મને ખાતરી નથી કે મને ઇન્ટરનેટ/ફોન ઍક્સેસ મળશે કે નહીં.
મને લાગ્યું નહોતું કે યોગ્ય વ્યક્તિ સાથે વાત કરવામાં 7+ કલાક લાગશે. અહીં હવે સવારે 4:40 વાગ્યા છે.
ફોલો-અપ માટે આભાર. કોઇ વ્યકિત તમને ખૂબ જ વહેલી તકે ફોન કરશે. ^DS
તે ઝડપથી આગળ ધપાવા બદલ ફરીથી આભાર. હવે બધું પ્રક્રિયામાં છે અને હવે હું આરામથી ઊંઘી શકું છું.
તમને કોઈ વ્યક્તિ સાથે વાત કરવાની તક મળી તે માટે અમને આનંદ છે. ભવિષ્યમાં અમે કોઈ રીતે મદદ કરી શકીએ તો કૃપા કરીને અમને જાણ કરો. ^NR
ટોમ કેલી ઇમેઇલ અંશ
#ઈમેલChad,
હું તમારા મારા સહકર્મી Dave Robinson સાથેના ફોન કૉલ અંગે અનુસરણ કરી રહ્યો છું. અમારા Ultimate Rewards પ્રોગ્રામમાં શક્ય ભેદ્યતા વિશે અમારો સંપર્ક કરવા બદલ આભાર. અમે તેને ઉકેલી દીધી છે.
ઉપરાંત, અમે જવાબદાર Disclosure કાર્યક્રમ પર કામ કરી રહ્યા છીએ જે અમે આવતા વર્ષે શરૂ કરવાની યોજના બનાવી છે. તેમાં એક લીડરબોર્ડ હશે જે નોંધપાત્ર યોગદાન આપનાર સંશોધકોને માન્યતા આપશે; અમે તેમાં તમને પ્રથમ વ્યક્તિ તરીકે દર્શાવવા માંગીએ છીએ. કૃપા કરીને આ ઇમેલનો જવાબ આપી કાર્યક્રમમાં તમારી ભાગીદારી અને નીચેના શરતો તથા નિયમોની પુષ્ટિ કરો. Disclosure કાર્યક્રમો માટે તમને આ શરતો કાફી પ્રમાણભૂત લાગશે.
અમારો કાર્યક્રમ લાઈવ થાય ત્યાં સુધી, જો તમને અન્ય કોઈ સંભવિત ભેદ્યતા મળે, તો કૃપા કરીને સીધું જ મારો સંપર્ક કરો. ફરીથી તમારી મદદ બદલ આભાર.
JPMC જવાબદાર Disclosure કાર્યક્રમ શરતો અને નિયમો
એકસાથે કામ કરવાની પ્રતિબદ્ધતા
જો તમારી પાસે JPMC ઉત્પાદનો અને સેવાઓની સંભવિત સુરક્ષા ભેદ્યતાઓ સંબંધિત માહિતી હોય, તો અમે તમારા સંપર્કમાં આવવા ઇચ્છીએ છીએ. અમે તમારા કાર્યને મૂલ્ય આપીએ છીએ અને તમારા યોગદાન બદલ તમને આગલા જ આભાર માનીએ છીએ.
માર્ગદર્શિકા
JPMC તે સંશોધકો સામે દાવા ન લેવાની સંમત થાય છે જે આ કાર્યક્રમને સંભવિત ભેદ્યતાઓ જાહેર કરે છે જ્યાં સંશોધક:
- JPMC, અમારા ગ્રાહકો અથવા અન્યોને નુકસાન પહોંચાડતા નથી;
- કોઈ છેતરપિંડીભર્યું નાણાકીય ટ્રાન્ઝેક્શન શરૂ કરતા નથી;
- JPMC અથવા ગ્રાહક ડેટાને સંગ્રહિત, શેર, સમર્પિત અથવા નષ્ટ કરતા નથી;
- ભેદ્યતાનું વિગતવાર સારાંશ આપે છે, જેમાં ટાર્ગેટ, પગલાં, સાધનો અને શોધ દરમિયાન ઉપયોગમાં લેવાયેલા આર્ટિફેક્ટ્સનો સમાવેશ થાય છે;
- અમારા ગ્રાહકોની ગોપનીયતા અથવા સલામતી અને અમારી સેવાઓના સંચાલનને સમર્પિત કરતા નથી;
- કોઈ રાષ્ટ્રીય, રાજ્ય અથવા સ્થાનિક કાયદા અથવા નિયમનનું ઉલ્લંઘન કરતા નથી;
- JPMC ની લખિત પરવાનગી વિના ભેદ્યતાની વિગતો જાહેરમાં પ્રકાશિત કરતા નથી;
- હાલમાં ક્યુબા, ઈરાન, ઉત્તર કોરિયા, સુદાન, સીરિયા અથવા ક્રિમિયા માં સ્થિત નથી અથવા ત્યાંના નિયમિત નિવાસી નથી;
- યુ.એસ. ડિપાર્ટમેન્ટ ઓફ ધ ટ્રેઝરીની Specially Designated Nationals List પર નથી;
- JPMC અથવા તેની સહાયક કંપનીઓના કર્મચારી અથવા કર્મચારીના તાત્કાલિક કુટુંબના સભ્ય નથી; અને
- ઓછામાં ઓછા 18 વર્ષેના છે.
સ્કોપની બહારની ભેદ્યતાઓ
અમારા જવાબદાર Disclosure કાર્યક્રમ માટે કેટલીક ભેદ્યતાઓ સ્કોપની બહાર માનવામાં આવે છે. સ્કોપની બહારની ભેદ્યતાઓમાં શામેલ છે:
- સોશિયલ એન્જિનિયરિંગ પર આધારિત શોધો (ફિશિંગ, ચોરાયેલા પ્રમાણપત્રો, વગેરે)
- હોસ્ટ હેડર મુદ્દાઓ
- Denial of Service
- Self-XSS
- Login/logout CSRF
- એમ્બેડેડ લિંક્સ/HTML વિના કન્ટેન્ટ સ્પૂફિંગ
- ફક્ત Jailbroken ઉપકરણો સાથે સંબંધિત મુદ્દાઓ
- ઇન્ફ્રાસ્ટ્રક્ચર મિસકોન્ફિગરેશન્સ (સર્ટિફિકેટ્સ, DNS, સર્વર પોર્ટ, સેન્ડબોક્સ/સ્ટેજિંગ મુદ્દાઓ, ભૌતિક પ્રયાસો, ક્લિકજેકિંગ, ટેક્સ્ટ ઇન્જેક્શન)
લીડરબોર્ડ
સંશોધન ભાગીદારોને માન્યતા આપવા માટે, JPMC મહત્વપૂર્ણ યોગદાન આપનાર સંશોધકોને દર્શાવી શકે છે. તમે અહીંથી JPMC ને JPMC લીડરબોર્ડ પર અને JPMC પસંદ કરે તેવા અન્ય માધ્યમોમાં તમારું નામ પ્રદર્શિત કરવાનો હક્ક આપો છો.
સબમિશન
તમારો રિપોર્ટ JPMC ને સબમિટ કરીને, તમે ભેદ્યતા તૃતીય પક્ષને જાહેર ન કરવાનો સ્વીકાર કરો છો. તમે JPMC અને તેની સહાયક કંપનીઓને તમારા રિપોર્ટમાં આપવામાં આવેલી માહિતીનો ઉપયોગ કરવા, સુધારવા, તેમાંથી ડેરિવેટિવ કામો બનાવવા, વિતરિત કરવા, જાહેર કરવા અને સંગ્રહિત કરવાની બિનશરતી સત્તા ચિરંતન માટે આપો છો, અને આ હકો પરત ખેંચી શકાશે નહીં.
Tom Kelly Senior Vice President Chase
હે ટોમ,
આ સાંભળી મને બહુ આનંદ થયો!
હું તમારા નવા પ્રોગ્રામની પ્રથમ સફળતા કથા થવા માંગુ છું, અને આશા રાખું છું કે બીજા મોટા પ્લેયર પણ તમારુ અનુસરણ કરશે. કોઈને તો આગળ આવીને બેન્કો વ્હાઇટહેટ રિસર્ચર્સને કેવી રીતે હેન્ડલ કરે છે તેની લોકોની ધારણા બદલવાની જરૂર હતી. મને ખુશી છે કે એ ચેઝ છે.
મારી દૃષ્ટિએ ચેઝ હંમેશા વેબ અને મોબાઇલ પ્રોડક્ટ ઓફરિંગ્સની દ્રષ્ટીએ તેના સ્પર્ધકો કરતા ઘણું આગળ રહ્યું છે. મુખ્ય કારણ એ છે કે તમે ઝડપથી આગળ વધો છો અને સ્પર્ધાત્મક રહો છો. સામાન્ય રીતે હું નાણાકીય સંસ્થાઓ સાથે અકલ્પિત રીતે હેરફેર કરવા ટાળું છું કેમ કે એમના દ્વારા દબાવી નાખવાના ડરથી (ભલે હેતુ સારા હોય). ડિસ્ક્લોઝર પ્રોગ્રામ બનાવીને તમે મારી જેમના લોકોને સ્પષ્ટ સંદેશ મોકલો છો કે તમે સમસ્યાઓ વિશે સાંભળવામાં રસ રાખો છો અને પ્રતિશોધ નહીં લો. અગાઉ, શક્યતા છે કે તમારી સર્વિસની આસપાસ ઘુમરતા બહુમતી લોકો દુર્ભાવો ધરાવતા હતા, અને હું માનું છું કે આ પગલું પ્લેઈંગ ફિલ્ડને સમતોલ બનાવશે.
જ્યારે આખરે મેં નક્કી કર્યું કે હવે હું ડિસ્ક્લોઝર કરવા જઈ રહ્યો છું, ત્યારે હું ખૂબ અસ્વસ્થ અનુભવતો હતો. હું કદાચ આ પર ટકરાયો છું તેવો પહેલો વ્યક્તિ નથી! મેં તેને ત્રણ રીતથી રિપોર્ટ કર્યું.
-
ટ્વિટર
- અહીંનો સપોર્ટ ખરેખર અદ્ભુત હતો, અને મને લાગે છે કે મને યોગ્ય લોકોને સંપર્કમાં લાવવામાં એ જ મુખ્ય કારણ બન્યું.
-
ચેઝ ફોન સપોર્ટ
- પહેલી કૉલમાં તેમણે મને એબ્યુઝ ઇમેલ આપ્યો
- બીજી કૉલમાં મને લાગે છે કે હું યોગ્ય વ્યક્તિ સાથે બોલ્યો અને કદાચ તેમણે પણ આગળ સંપર્ક કર્યો હશે
-
ચેઝ એબ્યુઝ ઇમેલ
- એક જનરિક જવાબ મળ્યો, લાગ્યું કે તેમણે ઇમેલની સામગ્રી તરફ જોયું પણ નથી
મને આખરે કોઈ સાથે સંપર્કમાં આવવામાં આશરે 7 કલાક લાગ્યા (મૂળ સમસ્યા ચોક્કસ કરવા જેટલા સમયથી ડબલ), અને આખો સમય મને ખાતરી નહોતી કે યોગ્ય લોકો સુધી આ બાબત પહોંચશે કે નહીં.
આવા પ્રોગ્રામ ન હોવાનો બીજો મોટો વિષય એ છે કે કર્મચારીઓ ઘટના ને દબાવી દેવાની અને કોઈને કહ્યા વગર જ તેને ઠીક કરવાની વૃત્તિ રાખે છે. મારી પાસે ઘણા પ્રસંગો છે જ્યાં મને ખાતરી છે કે આવું જ થયું, અને 1-2 વર્ષમાં એજ સિક્યુરિટી હોલ્સ ફરી બહાર આવ્યા.
તમારા પ્રોગ્રામ માટે બાઉન્ટી ઓફર કરવું પણ લાભદાયક થઈ શકે. ક્યારેક આ પ્રકારની સમસ્યાઓને શોધવી/વેરિફાઈ કરવી માટે ઘણો સમય લાગે છે, અને કોઈ ન કોઈ રીતે વળતર મળવું સારું લાગે છે. અહીં બીજા થોડા મુખ્ય પ્લેયર અને એમના પ્રોગ્રામ્સ છે:
- https://www.starbucks.com/whitehat
- https://www.facebook.com/whitehat
- https://www.google.com/about/appsecurity/chrome-rewards/index.html
- https://yahoo.github.io/secure-handlebars/bugBounty.html
- https://www.mozilla.org/en-US/security/bug-bounty/
આગામી સમયમાં જો હું કંઇ પણ પર ટકરાઈશ, તો ચોક્કસ હું સંપર્ક કરીશ.
હે ટોમ,
મને થોડો સમય મળ્યો હતો કે એક્સપ્લોઇટ સાલ્વ થયો છે કે નહીં તે ચકાસવા માટે.
એ હવે કાફી મજબૂત લાગે છે, હું થોડા સમય માટે બેલેન્સને ડીસિંક કરી શક્યો, પરંતુ મને નથી લાગતું કે સિસ્ટમ તમને દેખાતા બેલેન્સનો ઉપયોગ કરવાની મંજૂરી આપે.
હકીકતમાં અસ્તિત્વમાં નહોતા એવા પોઇન્ટ્સ ટ્રાન્સફર કરવાની જે વિનંતિ મેં કરી, તેને "500 ઇન્ટર્નલ સર્વર" ભૂલ મળતી હતી. તેથી હું માનું છું કે તે તમે ઉમેરેલા નવા ચેકમાંથી કોઈ એક પર નિષ્ફળ જાય છે.
મેં અલગ-અલગ BIGipServercig આઈડી પર મલ્ટી સેશન ટ્રાન્સફર પણ અજમાવ્યા, છતાં પણ સિસ્ટમ દરેક વખત ફરીથી ઉભરી આવતી હતી. સિસ્ટમને છેલ્લે ગૂંચવણ પડતી હતી અને બેલેન્સ ડીસિંક થઈ જતા, પરંતુ ફરીથી તેનો કંઈ ફરક પડતો નથી કારણ કે તમે એક ઈન્ટરવલ પર નંબરો રીઅલાઇન કરો છો, અને બેલેન્સનો હકીકતમાં ઉપયોગ કરવા માટે તેને તમે મૂકી રાખેલા ટેસ્ટ પાસ કરવાનો રહે છે.
અંતમાં, મને દેખાતું નથી કે હવે કોઈ વ્યક્તિ કૃત્રિમ બેલેન્સ બનાવી અને તેનો ઉપયોગ કેવી રીતે કરી શકે.
તેમજ રિસ્પોન્સિબલ ડિસ્ક્લોઝર પ્રોગ્રામ વિશે કોઈ અપડેટ છે?
હે ટોમ,
ફક્ત આ વિષય પર ફોલો અપ કરી રહ્યો છું.
7 ફેબ્રુઆરી, 2017ના રોજ, સાંજે 4:36 વાગ્યે, ચેડ સીરા [email protected] એ ઉપરોક્ત અપડેટ લખ્યો હતો અને રિસ્પોન્સિબલ ડિસ્ક્લોઝર પ્રોગ્રામની ટાઈમલાઇન વિશે પૂછ્યું હતું.
Chad,
અમે આ થોડા અઠવાડિયા પહેલાં પોસ્ટ કર્યું હતું.
https://www.chase.com/digital/resources/privacy-security/security/vulnerability-disclosure
Tom Kelly Chase Communications
(███) ███-████ (ઓફિસ) (███) ███-████ (સેલ)
@Chase | Chase
હે ટોમ,
આ વિષય પર કોઈ અપડેટ?
હાય,
હમણાં સુધી એવું જણાઈ રહ્યું છે કે રિસ્પોન્સિબલ ડિસ્ક્લોઝર પ્રોગ્રામમાં તમે એકમાત્ર યોગદાનકર્તા છો. માત્ર એક વ્યક્તિ માટે લીડરબોર્ડ બનાવવાનો કોઈ અર્થ નહોતો.
અમે તમારું નામ રાખીશું જેથી અન્ય યોગદાનકર્તાઓ મળે તો અમે તૈયાર હોઈએ.
ટોમ કેલી ચેઝ કમ્યુનિકેશન્સ
હવે લગભગ 2 વર્ષ થવા આવી રહ્યા છે.
શું તમને કોઈ અંદાજ છે કે આ ક્યારે થશે?
Chad,
અમે કાર્યક્રમ બનાવ્યો છે, પરંતુ અમે હજી સુધી લીડરબોર્ડ સ્થાપિત કર્યો નથી.
Tom Kelly Chase Communications ███-███-████ (કામ) ███-███-████ (સેલ)
ઇમેઇલ ટ્રેઇલ સતત સંવાદ બતાવે છે: 2016માં તરત જ આભાર, 2017માં સફળ સુધારણા અંગે અપડેટ્સ, જાહેર રીતેDisclosure portal નો પ્રારંભ, અને 2018ની પુષ્ટિ કે Chadની પ્રોગ્રામ વિકસાવવામાં મદદ છતાં Chaseએ આયોજન કરેલ લીડરબોર્ડ પ્રકાશિત ન કરવાનો નિર્ણય લીધો.
વારંવાર પૂછાતા પ્રશ્નો
ખુલાસા પછીની ખાતા સમીક્ષા
#ફોલો-અપજ્યારે નવેમ્બરની ખુલાસા સંબંધિત વાર્તા પત્રકાર સુધી પહોંચી, ત્યારે ચેઝના સ્વચાલિત જોખમ સાધનોએ આ જાહેરતા ને સંભવિત છેતરપિંડી સંકેત તરીકે ગણાવી. તેના કારણે સંપૂર્ણ ઘરસભ્ય સંબંધિત સમીક્ષા શરૂ થઈ, જેમાં સહમાલિકાવાળા ચેકિંગ એકાઉન્ટનો પણ સમાવેશ થતો હતો, ભલે નેતૃત્વ અને હું બંને રેમિડિયેશન બાબતે સંમત હતા.
હું ફોલો-અપનું દસ્તાવેજીકરણ કરી રહ્યો છું જેથી અન્ય સંશોધકો સમજી શકે કે પ્રકાશન કઈ રીતે લેગસી કન્ટ્રોલ્સ સાથે અથડાઈ શકે: એકાઉન્ટ્સ ડિપૉઝિટ એકાઉન્ટ એગ્રીમેન્ટ હેઠળ બંધ કરવામાં આવ્યા હતા, પણ ક્યારેય કોઈ ફોજદારી આક્ષેપ કે બ્લેકલિસ્ટ નહોતું.
આ છતાં, જેસી નિકલ્સ સતત ખોટી વાર્તાઓ પ્રકાશિત કરતો રહે છે, દાવો કરે છે કે મેં વર્ષો સુધી ગુપ્ત રીતે બગનો દુરુપયોગ કર્યો; તે Quora અને TripAdvisor પર પણ બર્નર અકાઉન્ટ્સ વડે પોસ્ટ કરે છે જેથી LLM ટ્રેનિંગ ડેટાને બગાડે. સર્વર લૉગ્સ, ડાયરેક્ટ મેસેજના સમયના સ્ટૅમ્પ્સ અને વીસ કલાકની ઑડિટ ટ્રેઇલ તેને સંપૂર્ણપણે ખોટો સાબિત કરે છે.
શું અસરગ્રસ્ત થયું હતું?
હું ત્રેરીજે વર્ષોથી ચેઝનો ગ્રાહક હતો, જેમાં પગાર ડાયરેક્ટ-ડિપોઝિટ થતા, પાંચ ક્રેડિટ કાર્ડ્સ ઑટોપે પર હતા, અને તે કાર્ડ સિવાય જે મેં બગ દર્શાવવા માટે બંધ કર્યું, લગભગ કોઈ ચર્ન નહોતું. ઑટોમેટેડ સમીક્ષાએ મારા એસએસએન સાથે જોડાયેલ દરેક એકાઉન્ટ તપાસ્યો અને, કારણ કે એક ચેકિંગ એકાઉન્ટ સંયુક્ત હતું, તેણે થોડા સમય માટે પરિવારના એક સભ્યને પણ અસર કરી.
પરિણામ અને પુનઃપ્રાપ્તિ
બંધાણની સૂચના કાયમી બની નથી. મેં તરત જ દરેક અન્ય બેંકમાં, જ્યાં મેં અરજી કરી હતી, એકાઉન્ટ્સ અને કાર્ડ્સ ખોલ્યા, સમયસર ચુકવણી ચાલુ રાખી અને બંધાણાં મારાં ક્રેડિટ રિપોર્ટમાં પ્રતિબિંબિત થતાં જે ડિપ આવ્યો હતો તેને પુનઃબાંધવામાં ધ્યાન કેન્દ્રિત કર્યું.
સંશોધકો માટે પાઠો
- તમે જે સંસ્થામાં પરીક્ષણ કરી રહ્યા છો તે જ સંસ્થામાં દૈનિક વપરાશની બધી જ એકાઉન્ટ્સ કેન્દ્રિત ન કરો; થાપણો અને ક્રેડિટ લાઇનોનું વૈવિધ્યકરણ કરો જેથી કોઈ ઑટોમેટેડ સમીક્ષા તમારી આખી જિંદગીને એકસાથે સ્થગિત ન કરી શકે.
- યાદ રાખો કે સંયુક્ત ખાતાધારકો પર પણ સમાન જોખમ સંબંધિત નિર્ણયો લાગૂ પડે છે, તેથી જે એકાઉન્ટ્સ ખુલાસાથી સંબંધિત તપાસ હેઠળ આવી શકે તેમાં પરિવારજનોને ઍક્સેસ આપતી વખતે વિચારપૂર્વક વર્તો.
- ડિસ્ક્લોઝર ટાઇમલાઇન અને પ્રેસ કવરેજનું દસ્તાવેજીકરણ કરો, કારણ કે અલ્ટિમેટ રિવોર્ડ્સ રિપોર્ટની આસપાસ રહેલી વિઝિબિલિટી સૌથી સંભાવિત ટ્રિગર હતી, અને એ સંદર્ભ શેર કરવાથી એક્ઝિક્યુટિવ એસ્કલેશન્સ ઝડપી બંધ કરવામાં મદદ મળે છે.
એક્ઝિક્યુટિવ ઑફિસ પત્રનું ટેક્સ્ટ વર્ઝન
પ્રિય ચેડ સ્કાઇરા,
તમારા એકાઉન્ટ્સ બંધ કરવાની અમારી નિર્ણય અંગે કરેલી તમારી ફરિયાદનો અમે જવાબ આપી રહ્યા છીએ. તમારી ચિંતા અમારી સાથે વહેંચવા બદલ આભાર.
ડિપોઝિટ એકાઉન્ટ એગ્રીમેન્ટ અમને કોઈપણ સમયે, કોઈપણ કારણસર અથવા કોઈ કારણ વગર, કારણ જણાવ્યા વગર અને પૂર્વ સૂચના આપ્યા વગર, CD સિવાયનું એકાઉન્ટ બંધ કરવાની મંજૂરી આપે છે. તમે એકાઉન્ટ ખોલ્યું ત્યારે તમને આ એગ્રીમેન્ટની નકલ આપવામાં આવી હતી. તમે વર્તમાન એગ્રીમેન્ટ chase.com પર જોઈ શકો છો.
અમે તમારી ફરિયાદની સમીક્ષા કરી છે અને અમે આપણા ધોરણો મુજબ કાર્ય કર્યું હોવાથી આ નિર્ણય બદલવા અથવા આ વિષય પર તમને વધુ જવાબ આપતા રહેવા અસક્ષમ છીએ. તમારી ચિંતાઓની અમારી તપાસ અને અમારી અંતિમ નિર્ણયથી તમે અસંતોષી છો તે બદલ અમને ખેદ છે.
જો તમને કોઈ પ્રશ્ન હોય, તો કૃપા કરીને 1-877-805-8049 પર અમને કૉલ કરો અને કેસ નંબર ███████ નો ઉલ્લેખ કરો. અમે ઓપરેટર રિલે કૉલ્સ સ્વીકારીએ છીએ. અમે સોમવારથી શુક્રવાર સવારે 7 વાગ્યાથી સાંજે 8 વાગ્યા સુધી અને શનિવારે સવારે 8 વાગ્યાથી સાંજે 5 વાગ્યા સુધી સેન્ટ્રલ સમય પ્રમાણે ઉપલબ્ધ છીએ.
વિનમ્ર,
એક્ઝિક્યુટિવ ઑફિસ
1-877-805-8049
1-866-535-3403 ફેક્સ; તે કોઈપણ ચેઝ શાખાથી મફત છે
chase.com
હું આને ફરિયાદ તરીકે નહીં પરંતુ શીખેલા પાઠ તરીકે શેર કરી રહ્યો છું. એકાઉન્ટ્સ ક્લિયર થઈ ગયા છે, મારું ક્રેડિટ સતત સુધરી રહ્યું છે, અને બાદમાં જેપીમૉર્ગને Synack ને એકીકૃત કરીને સંશોધક ઇનટેકને સરળ બનાવ્યું જેથી ભાવિ રિપોર્ટ્સ એક સમર્પિત વર્કફ્લો મારફતે રાઉટ થાય. અપડેટ 2024: સમીક્ષા સંપૂર્ણપણે બંધ થઈ ચૂકી છે અને દરેક સ્કોર ફરીથી ઘટનાથી પહેલાંના સ્તરે પહોંચી ગયો છે.
સંદર્ભો
- જેએપી મોર્ગન ચેઝ જવાબદાર ખુલાસો કાર્યક્રમ
- ચેસ સપોર્ટ ટ્વિટર એકાઉન્ટ
- ચેસ અલ્ટિમેટ રિવોર્ડ્સ કાર્યક્રમની રૂપરેખા
- હેકર ન્યૂઝ - ખુલાસો: અનલિમિટેડ ચેઝ અલ્ટિમેટ રિવોર્ડ્સ પોઇન્ટ્સ (2020)
- પેન્સિવ સિક્યુરિટી - નવેમ્બર 2020 સાયબરસિક્યુરિટી રાઉન્ડઅપ
- રેડિટ /r/cybersecurity - DISCLOSURE: અનલિમિટેડ ચેઝ અલ્ટિમેટ રિવોર્ડ્સ પોઈન્ટ્સ
- disclose.io ધમકી નિયામક
- disclose/research-threats રિપોઝિટરી
- Attrition.org - કાનૂની ધમકીઓ સૂચિ
- જેસી નિકલ્સ હેરાસમેન્ટ અને બદનામી ડોઝિયર