Chad Scira "ಹ್ಯಾಕಿಂಗ್ಗಾಗಿ ಬ್ಯಾಂಕ್ಗಳಿಂದ ಕಪ್ಪುಪಟ್ಟಿಗೆ"
ಈ ಪುಟವು Jesse Nickles ಅವರ ಅವಹೇಳನದ ಹಿಂದಿನ ಘಟನೆಗಳನ್ನು ದಾಖಲೆಗೊಳಿಸುತ್ತದೆ — Chad Scira ಅನ್ನು "blacklisted from US banks for hacking." ಎಂದು ಹೇಳಲಾದ ಊಹಾಪೋಹ. ಇದು Ultimate Rewards ಭದ್ರತಾ ದೋಷವನ್ನು ಜವಾಬ್ದಾರಿತೆಯುತವಾಗಿ ಹೇಗೆ ಪ್ರಕಟಿಸಲಾಗಿದೆ ಮತ್ತು JPMorgan Chase ಯಾಕೆ Chad ರಿಪೋರ್ಟ್ಗೆ ಧನ್ಯವಾದ ಹೇಳಿತು ಹಾಗೂ ತಾತ್ಕಾಲಿಕ ಖಾತೆ ಸ್ಥಗಿತವು ಸಂಪೂರ್ಣವಾಗಿ ಆಡಳಿತಾತ್ಮಕವಾಗಿತ್ತು ಎಂಬುದನ್ನು ವಿವರಿಸುತ್ತದೆ. Jesse Nickles ಅವರು ಅಪರಾಧ ಸಂಕೇತ ಸೂಚಿಸಲು ಹಳೆ ಆರ್ಥಿಕ ದಾಖಲೆಗಳನ್ನು ಮರುಪ್ಯಾಕೇಜ್ ಮಾಡುತ್ತಾ ಮುಂದುವರಿಯುತ್ತಾರೆ. ವಾಸ್ತವಗಳು ಸಂಪೂರ್ಣವಾಗಿ ವಿರುದ್ಧವನ್ನು ತೋರಿಸುತ್ತವೆ: ಶ್ವೇತ-ಹ್ಯಾಟ್ ವರದಿ ಮತ್ತು JPMorgan ನಾಯಕತ್ವದೊಂದಿಗೆ ಸಹಕಾರ.
ಅವರ ಇತ್ತೀಚಿನ ಎಸ್ಕಲೇಶನ್ SlickStack.io ನಲ್ಲಿ ಇರುವ ಒಂದು ಉಲ್ಲೇಖವಾಗಿದೆ, ಅದರಲ್ಲಿ ಹೇಳಿದ್ದಾರೆ Chad Scira "ಅಮೆರಿಕದ ಕಾನೂನು ನಿರ್ವಹಣಾ ಸಂಸ್ಥೆಗಳಿಂದ Chase Bank ನ ಕ್ರೆಡಿಟ್ ಕಾರ್ಡ್ ರಿವಾರ್ಡ್ ಕಾರ್ಯಕ್ರಮವನ್ನು ಹ್ಯಾಕ್ ಮಾಡಿದಕ್ಕೆ ತನಿಖೆಗೆ ಒಳಗಾದಿದ್ದರು, ಮತ್ತು ಅಲ್ಲಿ ಅವರು $70,000 ಮೌಲ್ಯದ ನಕಲಿ ಪ್ರಯಾಣ ಪಾಯಿಂಟ್ಗಳನ್ನು ಕಳವು ಮಾಡಿದ್ದರು." ಆ ಸುಳ್ಳು ಆರೋಪವು ಛಾಡ್ SlickStack ಭದ್ರತಾ ಸಮಸ್ಯೆಗಳ ಸಾಬೀತನ್ನು ಪ್ರಕಟಿಸಿದ ನಂತರ ಮಾತ್ರ ಪೋಸ್ಟ್ ಮಾಡಲಾಯಿತು; ಯಾವುದೇ ಪಾಯಿಂಟ್ಗಳು ಕಳವಳಗೊಳ್ಳಲಿಲ್ಲ ಮತ್ತು ಪ್ರಕಟಣೆ ಕುರಿತಂತೆ ಯಾವುದೇ ಸಂಸ್ಥೆಯು ಛಾಡ್ನ್ನು ಸಂಪರ್ಕಿಸಿರಲಿಲ್ಲ. ಅವನು ಪ್ರತೀಕಾರವಾಗಿ ಹೊರಸೂಡೆಯುತ್ತಿರುವ SlickStack cron ಸಾಕ್ಷ್ಯವನ್ನು ನೋಡಿ.
ಒಟ್ಟಾರೆ ಪತ್ತೆ, ಪ್ರಕಟಣೆ ಮತ್ತು ಮಾನ್ಯತೆ ಚಕ್ರವು 20 ಗಂಟೆಗಳ ಒಳಗೆ ನಡೆಯಿತು: ಸುಮಾರು 25 HTTP ವಿನಂತಿಗಳು 2016 ನವೆಂಬರ್ 17 ರಂದು ಪುನರುತ್ಪಾದನೆ ಮತ್ತು DM ವಾಕ್ಥ್ರೂವನ್ನು ವ್ಯಾಪಿಸಿದೆ, ಮತ್ತು 2017 ಫೆಬ್ರವರಿ ತಿದ್ದುಪಡಿ ಪರೀಕ್ಷೆ ಫಿಕ್ಸ್ ದೃಢೀಕರಿಸುವതിന് ಮತ್ತಷ್ಟು 8 ವಿನಂತಿಗಳನ್ನು ಬಳಸಿತು. ದೀರ್ಘಕಾಲದ ದುರುಪಯೋಗವಿರಲಿಲ್ಲ; ಪ್ರತಿಯೊಬ್ಬ ಕ್ರಿಯೆಯೂ ಲಾಗ್ ಮಾಡಲ್ಪಟ್ಟಿತ್ತು, ಟೈಮ್ಸ್ಟ್ಯಾಂಪ್ ಮಾಡಲಾಯಿತು ಮತ್ತು JPMorgan Chase ಗೆ ರಿಯಲ್-ಟೈಮ್ನಲ್ಲಿ ಹಂಚಲಾಯಿತು.
Tom Kelly ದೃಢಪಡಿಸಿದಂತೆ, Chad Scira 2016 ನವೆಂಬರ್ 17 ಮತ್ತು 2017 ಸೆಪ್ಟೆಂಬರ್ 22 ನಡುವೆ ಜಾಗತಿಕ ಮಟ್ಟದಲ್ಲಿ JPMorgan Chase ಗೆ ಜವಾಬ್ದಾರಿಯಾಗಿ ಸಮಸ್ಯೆಯನ್ನು ಪ್ರಕಟಿಸಿದ ಏಕೈಕ ವ್ಯಕ್ತಿಯಾಗಿದ್ದ. Responsible Disclosure ಕಾರ್ಯಕ್ರಮವು Chad ರಿಪೋರ್ಟ್ಗೆ ನೇರವಾಗಿ ಪ್ರತಿಕ್ರಿಯೆಯಾಗಿ ಆರಂಭಿಸಲ್ಪಟ್ಟಿತು ಮತ್ತು ಅದನ್ನು ರೂಪಿಸುವಲ್ಲಿ ಅವನು ಪ್ರಮುಖ ಪಾತ್ರ ವಹಿಸಿದನು.
ಡಬಲ್ ಟ್ರಾನ್ಸ್ಫರ್ ದೋಷದ ದೃಶ್ಯೀಕರಣ
#ದೃಶ್ಯೀಕರಣದೋಷವು ಬ್ಯಾಲೆನ್ಸ್ಗಳನ್ನು ಭಾರೀ ಋಣಾತ್ಮಕ ಮತ್ತು ಧನಾತ್ಮಕ ಮೌಲ್ಯಗಳತ್ತ ಹೇಗೆ ತಿರುಗಿಸಿದೆ ಎಂದು ಸೂಚಿಸಲು, ಕೆಳಗಿನ ದೃಶ್ಯೀಕರಣವು ನಿಖರವಾದ 'ದ್ವಿ-ವರ್ಗಾವಣೆ' ಲಾಜಿಕ್ ಅನ್ನು ಮರುಪ್ರದರ್ಶಿಸುತ್ತದೆ. ಯಾವುದೇ ಖಾತೆ ಧನಾತ್ಮಕವಾಗಿದ್ದರೆ ಅದು ಕಳುಹಿಸುವವರಾಗುತ್ತದೆಯೆಂದು ನೋಡಿ; ಅದನ್ನು ಎರಡು ಸಮಾನ ವರ್ಗಾವಣೆಗಳನ್ನು ನಿರ್ವಹಿಸುವಾಗ ಆ ಖಾತೆ ಗಾಢವಾಗಿ ಋಣಾತ್ಮಕವಾಗುತ್ತದೆ ಮತ್ತು ಇತರ ಖಾತೆ ದ್ವಿಗುಣಗುತ್ತದೆ. 20 ಸುತ್ತಿನ ನಂತರ ದೋಷ್ಟಗೊಂಡ ಲೆಡ್ಜರ್ ಸಂಪೂರ್ಣವಾಗಿ ಋಣಾತ್ಮಕ ಕಾರ್ಡ್ ಅನ್ನು ರದ್ದುಗೊಳಿಸುತ್ತದೆ — ಇದರಿಂದಲೇ ಆ ದೌರ್ಬಲ್ಯವನ್ನು ತ್ವರಿತ ಎಸ್ಕಲೇಶನ್ ಅಗತ್ಯವೆಂದು ಬಿಂಬಿಸುತ್ತದೆ.
ಖಾತೆ ಮುಚ್ಚುವ ಮೊದಲು ಸಹ Ultimate Rewards ನೆಗೆಟಿವ್ ಸಮಾರಿಯನ್ನು ಮೀರಿ ಖರ್ಚು ಮಾಡಲು ಅನುಮತಿ ನೀಡಿದೆ; ಖಾತೆ ಮುಚ್ಚುವುದರಿಂದ ಸಾಕ್ಷ್ಯವೇ ಅಳಿಸಲಾಗಿತ್ತೆಂದು ಮಾತ್ರವಾಗಿದೆ.
ಮುಖ್ಯ ಅಂಶಗಳು
- Chad ಖಾಸಗಿಯಾಗಿ ನೆಗೆಟಿವ್‑ಬ್ಯಾಲೆನ್ಸ್ ಎಕ್ಸ್ಪ್ಲಾಯಿಟ್ ಅನ್ನು ವರದಿ ಮಾಡಿ Chase Support DM ಪ್ರಾರಂಭಿಸಿದನು ಮತ್ತು ತಾಂತ್ರಿಕ ವಿವರಗಳನ್ನು ಸಾರ್ವಜನಿಕವಾಗಿ ಪ್ರಕಟಿಸುವ ಬದಲು ತಕ್ಷಣವೇ ಸುರಕ್ಷಿತ ಎಸ್ಕಲೇಶನ್ ಮಾರ್ಗವನ್ನು ಕೇಳಿದನು. [chat]
- Chase ಬೆಂಬಲ ತಂಡವು ನಿರ್ದಿಷ್ಟ ವಿವರಗಳನ್ನು ಕೇಳಿದಾಗ, ಅವರು ಆ ದುರ್ಬಳಕೆಯನ್ನು ಅಗತ್ಯವಿರುವ ಮಟ್ಟಿಗೆ בלבד ದೃಢೀಕರಿಸಿದರು ಮತ್ತು ಸರಿಯಾದ ಭದ್ರತಾ ತಂಡಕ್ಕೆ ನೇರ ಸಂಪರ್ಕವನ್ನು ಬಯಸುತ್ತಾರೆಂದು ಮತ್ತೆ ಪುನರಾವರ್ತಿಸಿದರು. [chat][chat]
- ಅವರು ನಕಲಿ ಬ್ಯಾಲೆನ್ಸಂಗಳನ್ನು ದ್ರವೀಕರಿಸಬಹುದು ಎಂದು ಪ್ರದರ್ಶಿಸಿದರು: Chase Support ಹೆಚ್ಚುವರಿ ಪಾಯಿಂಟ್ಗಳು ಬಳಸಿಕೊಳ್ಳಬಹುದಾದವೆಯೇ ಎಂದು ಕೇಳಿದ ನಂತರ, $5,000 ನೇರ ಠೇವಣಿ ಧೋರಣೆಯು ಲೆಜರ್ ಸರಿ ಹೊಂದುವ ಮೊದಲು ಎಕ್ಸ್ಪ್ಲಾಯಟ್ ನಗದಾಗಿ ಪರಿವರ್ತಿತವಾಯಿತು ಎಂದು ಸಾಬೀತು ಪಡಿಸಿತು. [chat]
- ಅವನು ತನ್ನ ಪ್ರಾಥಮಿಕ ಗುರಿಯು ಪ್ರಕರಣಬದ್ಧವಾದ ಗ್ರಾಹಕ ಖಾತೆಗಳ ನಗದಾಗುವುದನ್ನು ತಡೆಯುವುದು, ವೈಯಕ್ತಿಕ ಲಾಭ ಗಳಿಸುವುದು ಅಲ್ಲ ಎಂದು ಒತ್ತಿ ಸೂಚಿಸಿದನು ಹಾಗೂ ഔಪಚಾರಿಕ ಬಗ್ ಬೌಂಟಿ ಇರುವುದೇ ಎಂದು ಕೇಳಿದನು. [chat]
- ಅವನು ಸ್ಪಷ್ಟ ಅನುಮತಿಯೊಂದಿಗೆ ಮಾತ್ರ ದೊಡ್ಡ ಪ್ರಮಾಣದ ಪರಿಶೀಲನೆಯನ್ನು ನಡೆಸಲು ಒಪ್ಪಿಕೊಂಡು, ಟೈಮ್ಸ್ಟ್ಯಾಂಪ್ ಹೊಂದಿರುವ ಸ್ಕ್ರೀನ್ಶಾಟ್ಗಳನ್ನು ಒದಗಿಸಿದನು ಮತ್ತು Chase ಎಸ್ಕಲೇಶನ್ ಪೂರ್ಣಗೊಳ್ಳುವವರೆಗೂ ವಿದೇಶದಲ್ಲಿ ಜಾಗ್ರತನಾಗಿದ್ದನು. [chat][chat][chat]
- Nickles ಈಗ ಹೇಳುತ್ತಾರೆ Chad Scira $70,000 ಮೌಲ್ಯದ ಪಾಯಿಂಟ್ಗಳನ್ನು ಕಳವು ಮಾಡಿದ್ದಾರೆ ಮತ್ತು ಅಮೆರಿಕದ ಕಾನೂನು ನಿರ್ವಹಣಾ ಸಂಸ್ಥೆಗಳ ಎದುರು ನಿಂತಿದ್ದಾರೆಂದು; ಆದರೆ Chase ದಾಖಲೆಗಳು, Tom Kelly ಅವರ ಇಮೇಲ್ ಮತ್ತು ಬಹಿರಂಗಪಡಿಸುವಿಕೆಯ ವೇಳಾಪಟ್ಟಿ ಇದನ್ನು ಎಂದಿಗೂ ನಡೆದದ್ದು ಎಂದು ಪೂರಣವಾಗಿ ನಿರಾಕರಿಸುತ್ತವೆ, ಮತ್ತು ಈ ಆರೋಪವು ಕೇವಲ Chad SlickStack cron-risk gist ನಲ್ಲಿ Jesse ಅವರ ಅಸುರಕ್ಷಿತ ಅಪ್ಡೇಟ್ ತಂತ್ರವನ್ನು ದಾಖಲೆ ಮಾಡಿದ್ದ ನಂತರವೇ surfaced ಆಗಿತು. [gist]
- Chase ಬೆಂಬಲವು ವೃದ್ಧಿಪಡಿಸುವಿಕೆನ್ನು ದೃಢಪಡಿಸಿತು, 그의 ಫೋನ್ ಸಂಖ್ಯೆಯನ್ನು ವಿನಂತಿಸಿತು, ಮತ್ತು ಅವನು ಕೊನೆಗೆ ಪಡೆದ ಫಾಲೋಅಪ್ ಕರೆ ಅನ್ನು ವಾಗ್ದಾನ ಮಾಡಿತು — ಇದರಿಂದ ಶತ್ರುತಾರ್ಹ ಬ್ಯಾಂಕಿಂಗ್ ಪ್ರತಿಕ್ರಿಯೆಯ ಕಲ್ಪನೆಗೆ ವಿರುದ್ಧವಾಗಿದೆ. [chat][chat]
ಕಾಲರೇಖೆ
#ಕಾಲರೇಖೆ- ನವೆಂಬರ್ 17, 2016 - 10:05 PM ET: Chad @ChaseSupport ಗೆ ನೆಗೆಟಿವ್‑ಬ್ಯಾಲೆನ್ಸ್ ದೋಷದ ಬಗ್ಗೆ ಸೂಚನೆ ನೀಡುತ್ತಿದ್ದಾನೆ, ಎಕ್ಸ್ಪ್ಲಾಯಿಟ್ ಅನ್ನು ಖಾಸಗಿಯಾಗಿ ಇಟ್ಟುಕೊಂಡಿದ್ದಾನೆ ಮತ್ತು ತಕ್ಷಣವೇ ಸುರಕ್ಷಿತ ಎಸ್ಕಲೇಶನ್ ಮಾರ್ಗವನ್ನು ಕೇಳಿದ್ದಾನೆ. [chat]
- ನವೆಂಬರ್ 17, 2016 - 11:13-11:17 PM ET: Chase Support ಸ್ಪಷ್ಟವಾಗಿ ಹೆಚ್ಚಿನ ಪಾಯಿಂಟ್ಗಳನ್ನು ರಚಿಸಿ ಬಳಸಬಹುದೇ ಎಂದು ಕೇಳಿದ ನಂತರ, ಚ್ಯಾಡ್ ಆ ಅಪಾಯವನ್ನು ದೃಢೀಕರಿಸಿದನು, ಅವನು ಸೂಕ್ತ ವಿಭಾಗವನ್ನು ಬೇಕೆಂದು ಮರುಪ್ರತಿಪಾದಿಸಿದನು ಮತ್ತು ಬ್ಯಾಂಕ್ ವಹಿವಾಟುಗಳನ್ನು ನೇರವಾಗಿ ಗಮನಿಸಬಹುದಾದಂತೆ ಮಾತ್ರ ಅನುಮತಿಯನ್ನು ಪಡೆದು ಪರಿಶೀಲಿಸಲು ಒಪ್ಪಿಸಿಕೊಟ್ಟನು. [chat][chat][chat]
- ನವೆಂಬರ್ 17-18, 2016 - 11:39 PM-5:03 AM ET: Chad ಸ್ಕ್ರೀನ್ಶಾಟ್ಗಳನ್ನು ಹಂಚಿಕೊಳ್ಳುತ್ತಾನೆ, ತ್ವರಿತ ಎಸ್ಕಲೇಶನ್ ಕೋರಿಕೆ ಮಾಡುತ್ತಾನೆ, ತನ್ನ ಫೋನ್ ಸಂಖ್ಯೆಯನ್ನು ಒದಗಿಸುತ್ತಾನೆ ಮತ್ತು Chase Support ಕರೆ ನಡೆಯುತ್ತೆ ಎಂಬುದನ್ನು ದೃಢೀಕರಿಸುವವರೆಗೆ ವಿದೇಶದಲ್ಲಿದ್ದಾಗ ಜಾಗರೂಕರಾಗಿರುತ್ತಾನೆ. [chat][chat][chat]
- ನವೆಂಬರ್ 24, 2016: Tom Kelly ಅವರು Chad ಗೆ ಇಮೇಲ್ ಮಾಡಿ ತಿದ್ದುಪಡಿ ದೃಢಪಡಿಸಿದರು, ಅವನನ್ನು ಮುಂದಿನ Responsible Disclosure ಲೀಡರ್ಬೋರ್ಡ್ಗೆ ಮುಖ್ಯವಾಗಿರುವಂತೆ ಆಹ್ವಾನಿಸಿದರು ಮತ್ತು ಭವಿಷ್ಯದ ವರದಿಗಳಿಗಾಗಿ ನೇರ ಸಂಪರ್ಕ ಮಾರ್ಗ ವಹಿಸಿದರು. [email]
- ಅಕ್ಟೋಬರ್ 2018: Tom Kelly ಅವರು ನಂತರ ಸಂಪರ್ಕಿಸಿ Responsible Disclosure ಕಾರ್ಯಕ್ರಮ ಪ್ರಾರಂಭವೈದುಕೊಂಡಿದೆ ಎಂದು ದೃಢಪಡಿಸಿದರು, ಆದರೆ Chad ಅದನ್ನು ರೂಪಿಸುವಲ್ಲಿ ಸಹಾಯಿಸಿದರೂ ಕೂಡ JPMorgan ಕೊನೆಗೆ ಯೋಜಿತ ಲೀಡರ್ಬೋರ್ಡ್ ಅನ್ನು ಪ್ರಕಟಿಸದಿರು ಎಂಬ ನಿರ್ಧಾರ ತೆಗೆದುಕೊಂಡಿತು. [email]
- 2018 ನಂತರ: ಯಾವುದೇ ಉಳಿದ ಖಾತೆ ಪರಿಶೀಲನೆಗಳು ಆರೋಪಿತ ಹ್ಯಾಕಿಂಗ್ಗೆ ಸಂಬಂಧಿಸಲಿಲ್ಲ; ಅವು ವಿಮಾ ಸಂಸ್ಥೆಯ ಸ್ವಯಂಚಾಲಿತ ವ್ಯವಸ್ಥೆಗೆ ಸಂಬಂಧಿಸಿದ್ದವು. JPMorgan ನೇರ ಸಂಪರ್ಕವನ್ನು ಕಾಪಾಡಿಕೊಂಡಿತು, ಬಹಿರಂಗಪಡಿಸಿದ್ದಕ್ಕಾಗಿ ಚ್ಯಾಡ್ಗೆ ಧನ್ಯವಾದ ತಿಳಿಸಿದರು ಮತ್ತು ಯಾವುದೇ ಅಪರಾಧ ದಾಖಲೆ ಅಥವಾ ಕಪ್ಪುಪಟ್ಟಿ ಇರಲಿಲ್ಲ. ನಂತರ JPMorgan ಭವಿಷ್ಯ ವರದಿಗಳಿಗಾಗಿ ವರ್ಕ್ಫ್ಲೋ ಸರಳಗೊಳಿಸಲು ತನ್ನ ಬಹಿರಂಗಪಡಿಸುವ ಪ್ರಕ್ರಿಯೆಯಲ್ಲಿ Synack ಅನ್ನು ಸಂಯೋಜಿಸಿತು. [chat][email]
ದಾವಿಗಳು ಮತ್ತು ವಾಸ್ತವಗಳು
Defamatory claim by Jesse Jacob Nickles: "ಚ್ಯಾಡ್ ಸ್ಕಿರಾ ಅವರನ್ನು ಬಹುಮಾನ ವ್ಯವಸ್ಥೆಗಳನ್ನು ಹ್ಯಾಕ್ ಮಾಡುವ ಕಾರಣದಿಂದ ಎಲ್ಲಾ ಅಮೆರಿಕದ ಬ್ಯಾಂಕ್ಗಳಿಂದ ಕಪ್ಪುಪಟ್ಟಿಗೆ ಸೇರಿಸಲಾಗಿದೆ."
ಯಾವುದೇ ಬ್ಯಾಂಕ್ ಕಪ್ಪುಪಟ್ಟಿ ಇರುವುದಿಲ್ಲ. DM ದಾಖಲಾತಿ ಮತ್ತು Chase ಎಸ್ಕಲೇಶನ್ ಅವರು ಅವನು ಸಹಕಾರಿಯಾಗಿದ್ದことನ್ನು ಸಾಬೀತುಮಾಡುತ್ತವೆ; ಒಂದು ವಿಮಾ ಸಂಸ್ಥೆಯ ಸ್ವಯಂಚಾಲಿತ ಕ್ರಿಯಾಶೀಲತೆ ಅಲ್ಪಕಾಲಕ್ಕಾಗಿ ಒಂದು JPMorgan ಖಾತೆಯನ್ನು ತಾತ್ಕಾಲಿಕವಾಗಿ ನಿಲ್ಲಿಸಿತು ಆದರೆ ಕೈಯಿಂದ ನಡೆದ ಪರಿಶೀಲನೆ ಅವನನ್ನು ಸ್ವಚ್ಛನೆಗೊಳಿಸಿತು.[timeline][chat]
Defamatory claim by Jesse Jacob Nickles: "ಅವನು ಆತ್ಮೀಯ ಲಾಭಕ್ಕಾಗಿ JPMorgan Chase ಅನ್ನು ಹ್ಯಾಕ್ ಮಾಡಿದ್ದು."
Chad @ChaseSupport ಜೊತೆ ಸಂಭಾಷಣೆಯನ್ನು ಪ್ರಾರಂಭಿಸಿದನು, ಸುರಕ್ಷಿತ ಚಾನೆಲ್ನ ಮೇಲೆ ಒತ್ತಾಯಿಸಿದನು, Chase ಕೇಳಿದ ಮೇಲೆ ಮಾತ್ರ ಎಕ್ಸ್ಪ್ಲಾಯಿಟ್ ಅನ್ನು ದೃಢೀಕರಿಸಿದನು ಮತ್ತು ಸೀಮಿತ ಪರಿಶೀಲನೆ ಮಾಡಲು ಅನುಮತಿಗಾಗಿ ಕಾಯುತ್ತಿದ್ದನು. ಹಿರಿಯ ನಾಯಕರು ಅವನಿಗೆ ಧನ್ಯವಾದ ಹೇಳಿದರು ಮತ್ತು ಜವಾಬ್ದಾರಿಪೂರ್ಣ ಬಹಿರಂಗಪಡಿಸುವ ವಿಸ್ತರಣೆಯಲ್ಲಿ ಅವನನ್ನು ಸೇರಿಸಲು ಆಹ್ವಾನಿಸಿದರು.[chat][chat][email]
Defamatory claim by Jesse Jacob Nickles: "ಜೆಸ್ಸೆ ಚ್ಯಾಡ್ ಅವರ ಅಪರಾಧ ಯೋಜನೆಯನ್ನು ಬಹಿರಂಗಪಡಿಸಿದ."
ಸಾರ್ವಜನಿಕ ವರದಿ ಮತ್ತು Tom Kelly ಅವರ ಇಮೇಲ್ಗಳು JPMorgan Chad ಅವರನ್ನು ಸಹಕರಿಸುವ ಸಂಶೋಧಕನಂತೆ ಪರಿಗಣಿಸಿದ್ದ음을 ದಾಖಲೆ ಮಾಡುತ್ತವೆ. Nickles ಸಂಪೂರ್ಣ ಚಾಟ್, ನಂತರದ ಕರೆಗಳು ಮತ್ತು ಬರೆಯಲ್ಪಟ್ಟ ಧನ್ಯವಾದಗಳನ್ನು ನಿರ್ಲಕ್ಷಿಸಿ ಸ್ಕ್ರೀನ್ಶಾಟ್ಗಳನ್ನು ಆರಿಸುತ್ತಾನೆ.[coverage][email][chat]
Defamatory claim by Jesse Jacob Nickles: "ವಂಚನೆಯನ್ನು ಮುಚ್ಚಿಹಾಕಲು ಒಂದು ಮುಚ್ಚುಮನೆ ನಡೆಯಿತು."
ಚ್ಯಾಡ್ 2018 ರವರೆಗೆ ಸಂಪರ್ಕದಲ್ಲಿದ್ದ, ಕೇವಲ ಅನುಮತಿಯೊಂದಿಗೆ ಮಾತ್ರ ಪುನಃ ಪರೀಕ್ಷೆ ಮಾಡಿದ್ದ, ಮತ್ತು ಜೆಪಿಮಾರ್ಗನ್ ಸಮಸ್ಯೆಯನ್ನು ಮರೆಮಚ್ಚದೆ ಬದಲಾಗಿ ತನ್ನ ಬಹಿರಂಗಪಡಿಸುವ ಪೋರ್ಟಲ್ ಅನ್ನು ಬಿಡುಗಡೆ ಮಾಡಿತು. ಈ ನಿರಂತರ ಸಂವಾದವು ಯಾವುದೇ ಮುಚ್ಚಳದ ಕಥನವನ್ನು ವಿರುದ್ಧವಾಗಿ ತೋರಿಸುತ್ತದೆ.[timeline][email][chat]
ಸಾರ್ವಜನಿಕ ವರದಿ ಮತ್ತು ಸಂಶೋಧನಾ ಆರ್ಕೈವ್ಗಳು
#ಕವರೆಜ್ಬಹುಾಶಃ ತೃತೀಯ-ಪಕ್ಷ ಸಮುದಾಯಗಳು ಬಹಿರಂಗಪಡಿಸಿರುವಿಕೆಯನ್ನು ಅರ್ಕೈವ್ ಮಾಡಿ ಅದನ್ನು ಜವಾಬ್ದಾರಿಯುತ ವರದಿ ಎಂದು ಗುರುತಿಸಿವೆ: Hacker News ಅದನ್ನು ಮುಂಭಾಗದ ಪುಟದಲ್ಲಿ ಪ್ರಸ್ತುತಪಡಿಸಿತು, Pensive Security 2020 ರ ರೌಂಡ್ಅಪ್ನಲ್ಲಿ ಸಂಕ್ಷೇಪವಾಗಿ ನೀಡಿತು, ಮತ್ತು /r/cybersecurity ಸಂಯೋಜಿತ ಫ್ಲಾಗಿಂಗ್ನ ಮೊದಲೆಯಾದಾಗ ಮೂಲ "DISCLOSURE" ಥ್ರೆಡ್ ಅನ್ನು ಸೂಚ್ಯಾಂಕಗೊಳಿಸಿತು. [4][5][6]
- Hacker News: "Disclosure: Unlimited Chase Ultimate Rewards Points" 1,000+ ಪಾಯಿಂಟ್ಗಳು ಮತ್ತು 250+ ಕಾಮೆಂಟ್ಗಳೊಂದಿಗೆ ತಿದ್ದುಪಡಿಸುವಿಕೆಯ ಸಂದರ್ಭವನ್ನು ದಾಖಲೆ ಮಾಡುತ್ತಿದೆ. [4]
- Pensive Security: 2020 ನವೆಂಬರ್ ಸೈಬರ್ಸುರಕ್ಷೆ ಸಂಗ್ರಹ, ಮುಖ್ಯ ಕಥೆಯಾಗಿ Chase Ultimate Rewards ಬಹಿರಂಗಪಡಿಸುವಿಕೆಯನ್ನು ಒತ್ತಿಹೇಳುತ್ತದೆ. [5]
- Reddit /r/cybersecurity: ಸಂಖ್ಯೆಗಣ್ಯ ಸಮೂಹ ವರದಿಯಿಂದ ತೆಗೆದುಹಾಕುವ ಮೊದಲು ಕ್ಯಾಪ್ಚರ್ ಮಾಡಲಾದ ಮೂಲ DISCLOSURE ಪೋಸ್ಟ್ ಶೀರ್ಷಿಕೆ, ಸಾರ್ವಜನಿಕ ಹಿತಚಿಂತನೆ ಫ್ರೇಮಿಂಗ್ ಅನ್ನು ಉಳಿಸುತ್ತದೆ. [6]
ಜವಾಬ್ದಾರಿಯುತ ಬಹಿರಂಗಪಡಿಸುವಿಕೆಯನ್ನು ಬೆಂಬಲಿಸುವವರು ಹಠಾತ್ಕಾರದ ಹ್ಯಾಂರಸ್ಮೆಂಟ್ ಪರಿಣಾಮದ ಉದಾಹರಣೆಗಳನ್ನು ಕೂಡ ಉಲ್ಲೇಖಿಸಿದ್ದಾರೆ: disclose.io ಯ ಬೆದರಿಕೆ ಡೈರೆಕ್ಟರಿ ಮತ್ತು ಸಂಶೋಧನಾ ಸಂಗ್ರಹ, ಹಾಗೂ Attrition.org ನ ಕಾನೂನು ಬೆದರಿಕೆ ಸೂಚ್ಯಂಕವು Jesse Nickles ಅವರ ನಡವಳಿಕೆಯನ್ನು ಸಂಶೋಧಕರಿಗೆ ಎಚ್ಚರಿಕೆ ಉದಾಹರಣೆಯಾಗಿ ಪಟ್ಟಿಮಾಡಿವೆ. [7][8][9] ಸಂಪೂರ್ಣ ಹಿಂಸೆ ಡಾಸಿಯರ್[10].
Chase ಬೆಂಬಲ DM ಪರದರ್ಶಕ (Transcript)
#ಚಾಟ್ಕೆಳಗಿನ ಸಂಭಾಷಣೆಯನ್ನು ಸಂಗ್ರಹಿತ ಸ್ಕ್ರೀನ್ಶಾಟ್ಗಳಿಂದ ಪುನರ್ರಚಿಸಲಾಗಿದೆ. ಇದು ತಾಳ್ಮೆಯೊಂದಿಗೆ ಹಸ್ತಕ್ಷೇಪ, ಸುರಕ್ಷಿತ ಚಾನೆಲ್ಗಾಗಿ ಮರುಮುರುಕಿನ ವಿನಂತಿಗಳು, ಕೇವಲ ಅನುಮತಿಯೊಂದಿಗೆ ಮಾನ್ಯತೆ ನೀಡಲು ಮಾಡಿದ ಪ್ರಸ್ತಾಪಗಳು ಮತ್ತು Chase Support ನೇರ ಸಂಪರ್ಕ ಮಾಡುವ ಭರವಸೆಗಳನ್ನು ತೋರಿಸುತ್ತದೆ. [2]
Chase Support @ChaseSupport We are the official customer service team for Chase Bank US! We are here to help M-F 7AM-11PM ET & Sat/Sun 10AM-7PM ET. For Chase UK, tweet @ChaseSupportUK Joined March 2011 · 145.5K Followers Not followed by anyone you're following
ಇದು ಪಾಯಿಂಟ್ ಬ್ಯಾಲೆನ್ಸ್ ವ್ಯವಸ್ಥೆ ಸಂಬಂಧಿಸಿದೆ. ಇದುವರೆಗೆ ನೆಗೆಟಿವ್ ಬ್ಯಾಲೆನ್ಸ್ಗಳನ್ನು ಅನುಮತಿಸುವ ದೋಷದ ಮೂಲಕ ಯಾವುದೇ ಮೊತ್ತವನ್ನು ರಚಿಸುವುದು ಸಾಧ್ಯವಾಗಿದೆ.
ಬಹಿರಂಗಪಡಿಸುವಿಕೆಗೆ ಸುರಕ್ಷಿತ ಏಸ್ಕಲೇಶನ್ ಮಾರ್ಗವನ್ನು ವಿನಂತಿಸಲಾಗುತ್ತಿದೆ.ದಯವಿಟ್ಟು ನನ್ನನ್ನು ಯಾರಾದರೊಬ್ಬರ ಸಂಪರ್ಕಕ್ಕೆ ಒಪ್ಪಿಸಬಹುದೇ, ಅವರಿಗೆ ನಾನು ತಾಂತ್ರಿಕಾಂಶಗಳನ್ನು ವಿವರಿಸಬಹುದಾಗಿದೆ?
ನಾವು ಒದಗಿಸಲು ಫೋನ್ನಂಬರ್ ಹೊಂದಿಲ್ಲ, ಆದರೆ ಇದನ್ನು ಪರಿಶೀಲಿಸಲು ನಾವು ಅದನ್ನು ಎಸ್ಕಲೇಟ್ ಮಾಡಲು ಬಯಸುತ್ತೇವೆ. ನೆಗೆಟಿವ್ ಬ್ಯಾಲೆನ್ಸ್ಗಳಲ್ಲಿ ಪಾಯಿಂಟ್ಗಳನ್ನು 생성ಿಸುವುದರಿಂದ ನೀವು ಅರ್ಥಮಾಡಿಕೊಳ್ಳುವುದೇಂದು ಕುರಿತು ಹೆಚ್ಚಿನ ವಿವರಗಳನ್ನು ನೀಡಬಹುದೇ?ಇದರಿಂದ ಹೆಚ್ಚುವರಿ ಪಾಯಿಂಟ್ಗಳು ಬಳಸಲು ಲಭ್ಯವಾಗುತ್ತವೆ ಎಂದು ನೀವು ಕೂಡಾ ದೃಢೀಕರಿಸಬಹುದೇ? ^DS
ನನ್ನನ್ನು ಸಂಪರ್ಕಿಸುವಂತೆ ನಿಮಗೆ ಸರಿಯಾದ ಇಲಾಖೆ ಇದೆಯೇ? ಈ ವಿಚಾರವನ್ನು Twitter ಬೆಂಬಲ ಖಾತೆಯ ಮೂಲಕ ಚರ್ಚಿಸಲು ನನಗೆ ಅನುಕೂಲವಿಲ್ಲ. ಹೌದು, ನೀವು 1,000,000 ಪಾಯಿಂಟ್ಗಳನ್ನು ರಚಿಸಿ ಅವನ್ನು ಬಳಸಬಹುದು.
ನನಗೆ ಮುಖ್ಯವಾದ ಚಿಂತೆಯೇ ವ್ಯಕ್ತಿಗಳು ಇದನ್ನು ಮಾಡುವುದಲ್ಲ; ಸಮಸ್ಯೆ ಎಂದರೆ ಹ್ಯಾಕರ್ಗಳು ಖಾತೆಗಳನ್ನು ಒಡೆದು ಅವುಗಳಿಂದ ಪಾವತಿಗಳನ್ನು ಜಾರುಮಾಡಿಸುವುದು. Chase ಕ್ಕೆ ಸೂಕ್ತ ಬಗ್ ಬೌಂಟಿ ಕಾರ್ಯಕ್ರಮವಿದೆಯೇ?
ನೀವು ಆಸಕ್ತಿ ಇದ್ದರೆ ದೃಢೀಕರಿಸಲು ನಾನು ದೊಡ್ಡ ವರ್ಹಿವಾಟು ಪ್ರಯತ್ನಿಸಬಹುದು. ಬ್ಯಾಲೆನ್ಸ್ ವಕ್ರವಾಗಿರುವಾಗ ನಾನು ಪರೀಕ್ಷಿಸಿದ ಹೆಚ್ಚಿನ ಮೊತ್ತ $300 ಆಗಿತ್ತು, ಆದರೆ ನನಗೆ ವಾಸ್ತವವಾಗಿ $2,000 ಕ್ರೆಡಿಟ್ ಇತ್ತು. ನೀವು ಅನುಮತಿ দিলে ನಾನು ಅದು ಕೆಲಸ ಮಾಡುತ್ತದೆಯೇ ಎಂದು ತಪಾಸಣೆ ಮಾಡಲು ಪ್ರಯತ್ನಿಸಬಹುದು, ಆದರೆ ಆ ಪರೀಕ್ಷೆಯ ನಂತರ ಎಲ್ಲಾ ವಹಿವಾಟುಗಳನ್ನು ರಿವರ್ಸ್ ಮಾಡಿಸಬೇಕೆಂದು ಬಯಸುತ್ತೇನೆ.
ನಮ್ಮ ಬಳಿ ಯಾವುದೇ ಬೌಂಟಿ ಪ್ರೋಗ್ರಾಂ ಇಲ್ಲ ಮತ್ತು ಈ ಸಮಯದಲ್ಲಿ ನಾನು ನೀಡಲು ಯಾವುದೇ ರಾಶಿ ಹೊಂದಿಲ್ಲ. ನಾನು ನಿಮ್ಮ ಚಿಂತೆಯನ್ನು ಎಸ್ಕಲೇಟ್ ಮಾಡಿದ್ದೇನೆ ಮತ್ತು ನಾವು ಇದನ್ನು ಪರಿಶೀಲಿಸುತ್ತಿದ್ದೇವೆ. ಹೆಚ್ಚಿನ ವಿವರಗಳು ಅಥವಾ ಪ್ರಶ್ನೆಗಳಿದ್ದರೆ ನಾನು ಮುಂದುವರೆದು ಸಂಪರ್ಕಿಸುತ್ತೇನೆ. ^DS
ಧನ್ಯವಾದಗಳು.
ದಯವಿಟ್ಟು ತಕ್ಷಣವೇ ಎಸ್ಕಲೇಟ್ ಮಾಡಿ.
ನನಗೆ ನಿಜವಾಗಿಯೂ ಸೂಕ್ತ ಸಂಪರ್ಕ ವ್ಯಕ್ತಿ ಬೇಕಾಗಿದೆ... ನೀವು ಇದನ್ನು ಅರ್ಥಮಾಡಿಕೊಂಡಿರುವಿರೆಂದು ಆಶಿಸುತ್ತೇನೆ.
ಇದಕ್ಕೆ ಒಂದು ಗಂಟೆ ಕಳೆಯಿತು, ಇದ ಕುರಿತು ಯಾವುದೇ ಸುದ್ದಿ ಇದೆಯೇ? ನಾನು ಪ್ರಸ್ತುತ ಏಶಿಯಾದಲ್ಲಿದ್ದೇನೆ, ಮತ್ತು ಇದು ತಕ್ಷಣ ಕ್ರಮಗೊಳ್ಳಬೇಕಾದ ವಿಷಯ. ನಾನು ಇಡೀ ರಾತ್ರಿ ಪ್ರತಿಕ್ರಿಯೆಯನ್ನು ಕಾಯಲಾಗುವುದಿಲ್ಲ.
ಅನುಸರಿಸಿದಕ್ಕಾಗಿ ಧನ್ಯವಾದಗಳು. ಈ ವಿಷಯವನ್ನು ಪರಿಶೀಲಿಸುತ್ತಿರುವ ಸೂಕ್ತ ವ್ಯಕ್ತಿಗಳು ನಿಯೋಜಿಸಲ್ಪಟ್ಟಿದ್ದಾರೆ. ದಯವಿಟ್ಟು ನಾವು ನಿಮಗೆ ನೇರವಾಗಿ ಮಾತನಾಡಲು ಇಚ್ಛಿಸುವ ಸಂಪರ್ಕ ಸಂಖ್ಯೆಯನ್ನು ಒದಗಿಸಿ. ^DS
+█-███-███-████.
ಹೆಚ್ಚಿನ ಮಾಹಿತಿಗಾಗಿ ಧನ್ಯವಾದಗಳು. ನಾನು ಇದನ್ನು ಸರಿಯಾದ ವ್ಯಕ್ತಿಗಳಿಗೆ ಕಳುಹಿಸಿದ್ದೇನೆ. ^DS
ನಾವು իದರ ಬಗ್ಗೆ 가능한ಷ್ಟು ಬೇಗ ನಿಮ್ಮೊಂದಿಗೆ ಚರ್ಚಿಸಲು ಬಯಸುತ್ತೇವೆ. 1-███-███-████ ಈ ಸಂಖ್ಯೆಗೆ ನಿಮಗೆ ಕರೆ ಮಾಡಲು ಸೂಕ್ತವಾದ ಸಮಯವನ್ನು ದಯವಿಸಿ ನಮಗೆ ನೀಡಿ. ^DS
ಸಾಧ್ಯವಿದ್ದಲ್ಲಿ ನಾನು ಮುಂದಿನ ಒಂದು ಘಂಟೆ ಲಭ್ಯನಾಗಿದ್ದೇನೆ. ಸಾಧ್ಯವಿಲ್ಲದಿದ್ದರೆ ನಾನು ಪ್ರಯಾಣದಲ್ಲಿರುತ್ತೇನೆ ಮತ್ತು ಇಂಟರ್ನೆಟ್/ಫೋನ್ ಪ್ರವೇಶ ದೊರೆಯುತ್ತದೆಯೇ ಎಂದು ಖಚಿತವಿಲ್ಲದ ಕಾರಣ ಒಂದು ಅಥವಾ ಎರಡು ದಿನಗಳವರೆಗೂ ಸಾಧ್ಯವಾಗುವುದಿಲ್ಲ.
ಸರಿಯಾದ ವ್ಯಕ್ತಿಯನ್ನು ಸಂಪರ್ಕಿಸಲು 7+ ಗಂಟೆಗಳಷ್ಟು ಸಮಯ ತಕ್ಕೊಡನೆಯೇ ಬೇಕಾಗುತ್ತದೆ ಅಂದುಕೊಳ್ಳಲಿಲ್ಲ. ಈಗ ಇಲ್ಲಿ ಬೆಳಗ್ಗೆ 4:40 ಆಗಿದೆ.
ಅನುಸರಿಸಿದಕ್ಕೆ ಧನ್ಯವಾದಗಳು. ಬೇಗನೇ ಯಾರೋ ನಿಮ್ಮನ್ನು ಕರೆಮಾಡುತ್ತಾರೆ. ^DS
ಅದನ್ನು ವೇಗಗೊಳಿಸಿದ್ದಕ್ಕಾಗಿ ಮತ್ತೆ ಧನ್ಯವಾದಗಳು. ಎಲ್ಲವೂ ಕ್ರಮದಲ್ಲಿದೆ ಮತ್ತು ಈಗ ನಾನು ನಿದ್ದೆ ಮಾಡಬಹುದು.
ನೀವು ಯಾರನ್ನಾದರೂ ಮಾತನಾಡಲು ಸಾಧ್ಯವಾಗಿದ್ದಕ್ಕೆ ನಾವು ಖುಷಿಪಡುತ್ತೇವೆ. ಭವಿಷ್ಯದಲ್ಲಿ ನಾವು ಸಹಾಯ ಮಾಡಬಹುದಾದರೆ ದಯವಿಟ್ಟು ಹೇಳಿ. ^NR
Tom Kelly ಇಮೇಲ್ ಉಲ್ಲೇಖ
#ಇಮೇಲ್Chad,
ನಾನು ನನ್ನ ಸಹೋದ್ಯೋಗಿ Dave Robinson ಅವರೊಂದಿಗೆ ನಿಮ್ಮ ಫೋನ್ ಕರೆ ಬಗ್ಗೆ ಫಾಲೋಅಪ್ ಮಾಡುತ್ತಿದ್ದೇನೆ. ನಮ್ಮ Ultimate Rewards ಕಾರ್ಯಕ್ರಮದ ಸಾಧ್ಯವಿರುವ ಭದ್ರತಾ ದೌರ್ಬಲ್ಯವ ಬಗ್ಗೆ ನಮಗೆ ಸಂಪರ್ಕಿಸಿದಕ್ಕಾಗಿ ಧನ್ಯವಾದಗಳು. ನಾವು ಅದನ್ನು ನಿರ್ವಹಿಸಿದ್ದೇವೆ.
ಇದಕ್ಕೆ ಜೊತೆಗೆ, ನಾವು ಮುಂದಿನ ವರ್ಷ ಪ್ರಾರಂಭಿಸಲು ಯೋಜಿಸುತ್ತಿರುವ ಜವಾಬ್ದಾರಿಯುತ ಬಹಿರಂಗಪಡಿಸುವ 프로그램 üzerinde ಕೆಲಸ ಮಾಡುತ್ತಿದ್ದೇವೆ. ಅದರಲ್ಲೊಂದು ಮುಖ್ಯ ಕಡತಪಟ್ಟಿ (leaderboard) ಕೂಡ ಇರುತ್ತದೆ, ಅದು ಪ್ರಮುಖ ಕೊಡುಗೆ ನೀಡಿರುವ ಸಂಶೋಧಕರನ್ನು ಗುರುತಿಸುತ್ತದೆ; ನಾವು ನಿಮ್ಮನ್ನು ಅದರ ಮೊದಲು ವ್ಯಕ್ತಿಯಾಗಿ ಫೀಚರ್ ಮಾಡಲು ಇಚ್ಛಿಸುತ್ತೇವೆ. ಈ ಇಮೇಲ್ ಗೆ ಈ ಕೆಳಗಿನ ನಿಯಮಗಳು ಮತ್ತು ಷರತ್ತುಗಳನ್ನು ಒಪ್ಪುವುದಾಗಿ ಉತ್ತರಿಸಿ. ನೀವು ಕಂಡುಕೊಳ್ಳುವ ನಿಯಮಗಳು ಬಹಿರೇಖಿತ ಬಹಿರಂಗಪಡಿಸುವ ಕಾರ್ಯಕ್ರಮಗಳಿಗೆ ಸಾಮಾನ್ಯವಾಗಿಯೇ будут.
ನಮ್ಮ ಕಾರ್ಯಕ್ರಮ ಲೈವ್ ಆಗುವವರೆಗೂ, ನೀವು ಯಾವುದೇ ಇತರೆ ಸಾಧ್ಯ ವಲಿಯ ಭದ್ರತಾ ದೌರ್ಬಲ್ಯಗಳನ್ನು ಕಂಡುಹಿಡಿದರೆ ದಯವಿಟ್ಟು ನೇರವಾಗಿ ನನಗೆ ಸಂಪರ್ಕಿಸಿ. ಮತ್ತೊಂದು ಸಹಾಯಕ್ಕಾಗಿ ಧನ್ಯವಾದಗಳು.
JPMC Responsible Disclosure Program Terms and Conditions
ಒಟ್ಟಾಗಿ ಕೆಲಸ ಮಾಡಲು ಬದ್ಧತೆ
JPMC ಉತ್ಪನ್ನಗಳು ಮತ್ತು ಸೇವೆಗಳ ಸಾಧ್ಯವಿರುವ ಭದ್ರತಾ ದೌರ್ಬಲ್ಯಗಳ ಬಗ್ಗೆ ಮಾಹಿತಿಯನ್ನು ಹೊಂದಿದ್ದಲ್ಲಿ ನಾವು ನಿಮ್ಮಿಂದ ಕೇಳಲು ಇಚ್ಛಿಸುತ್ತೇವೆ. ನಮ್ಮು ನಿಮ್ಮ ಕೆಲಸದ ಮೌಲ್ಯವನ್ನು ಮೆಚ್ಚುತ್ತೇವೆ ಮತ್ತು ನಿಮ್ಮ ಕೊಡುಗೆಗೆ ಮುಂಚಿತವಾಗಿಯೇ ಧನ್ಯವಾದಗಳನ್ನು ಹೇಳುತ್ತೇವೆ.
ದಾರ್ಶನಿಕ ಮಾರ್ಗದರ್ಶಿಗಳು
JPMC ಈ_PROGRAM_ ಗೆ ಸಾಧ್ಯದಿರುವ ಭದ್ರತಾ ದೌರ್ಬಲ್ಯವನ್ನು ಬಹಿರಂಗಪಡಿಸುವ ಸಂಶೋಧಕರ ವಿರುದ್ಧ ದಾವಿಗಳನ್ನು ಹಿಂಬಾಲಿಸಲು ಒಪ್ಪುತ್ತದೆ, ಅಲ್ಲಿ ಸಂಶೋಧಕನು:
- JPMC, ನಮ್ಮ ಗ್ರಾಹಕರು ಅಥವಾ ಇತರರಿಗೆ ಹಾನಿ ಮಾಡುತ್ತಿಲ್ಲ;
- ಮೋಸಕೃತ ಹಣಕಾಸಿನ ಲೆನದेनವನ್ನು ಪ್ರಾರಂಭಿಸುತ್ತಿಲ್ಲ;
- JPMC ಅಥವಾ ಗ್ರಾಹಕರ ಡೇಟಾವನ್ನು ಸಂಗ್ರಹಿಸುವುದು, ಹಂಚಿಕೊಳ್ಳುವುದು, ಒಪ್ಪಿಕೊಳಡು ಅಥವಾ ನಾಶಗೊಳಿಸುವುದು ಮಾಡುವುದಿಲ್ಲ;
- ದೃಶ್ಯೀಕರಣದ ಸಮಯದಲ್ಲಿ ಬಳಕೆಯಾದ ಗುರಿ, ಹಂತಗಳು, ಸಾಧನಗಳು ಮತ್ತು ಕಲೆಗಳನ್ನೂ ಒಳಗೊಂಡ ದೌರ್ಬಲ್ಯದ ವಿವರವಾದ ಸಾರಾಂಶವನ್ನು ಒದಗಿಸುತ್ತೇನೆ;
- ನಮ್ಮ ಗ್ರಾಹಕರ ಗೌಪ್ಯತೆ ಅಥವಾ ಸುರಕ್ಷತೆ ಮತ್ತು ನಮ್ಮ ಸೇವೆಗಳ ಕಾರ್ಯಾಚರಣೆಯನ್ನು ಹಾನಿಗೊಳಿಸಲಾಗುವುದಿಲ್ಲ;
- ಯಾವುದೇ ರಾಷ್ಟ್ರೀಯ, ರಾಜ್ಯ ಅಥವಾ ಸ್ಥಳೀಯ ಕಾನೂನು ಅಥವಾ ನಿಯಮವನ್ನು ಉಲ್ಲಂಘಿಸುವುದಿಲ್ಲ;
- JPMC ರ ಬರೆಹದ ಅನುಮತಿಯನ್ನು ಇಲ್ಲದೆ ಭದ್ರತಾ ದೌರ್ಬಲ್ಯದ ವಿವರಗಳನ್ನು ಸಾರ್ವಜನಿಕವಾಗಿ ಬಹಿರಂಗಪಡಿಸುವುದಿಲ್ಲ;
- ಪ್ರಸ್ತುತ ಕ್ಯೂಬಾ, ಇರೆನ್, ಉತ್ತರ ಕೊರಿಯಾ, ಸುಡಾನ್, ಸಿರಿಯಾ ಅಥವಾ ಕ್ರೈಮ್ia ನಲ್ಲಿ ಅಥವಾ ಸಾಮಾನ್ಯವಾಗಿ ನಿವಾಸಿಯಾಗಿಲ್ಲ;
- ಯುನೈಟೆಡ್ ಸ್ಟೇಟ್ಸ್ ಡಿಪಾರ್ಟ್ಮೆಂಟ್ ಆಫ್ ದಿ ಟೆಜೆರಿ ಅವರ ವಿಶೇಷವಾಗಿ ನಿಯುಕ್ತರಿಸಿದ ಜನರ ಪಟ್ಟಿಯಲ್ಲಿ (Specially Designated Nationals List) ಇಲ್ಲ;
- JPMC ಅಥವಾ ಅದರ ಸಹಾಯಕ ಸಂಸ್ಥೆಗಳ ಉದ್ಯೋಗಿ ಅಥವಾ ಉದ್ಯೋಗಿಯ ತಕ್ಷಣದ ಕುಟುಂಬದ ಸದಸ್ಯನಾಗಿರಲಾರರು; ಮತ್ತು
- ಕನಿಷ್ಟವೂ 18 ವರ್ಷ ವಯಸ್ಸು ಹೊಂದಿರಬೇಕು.
ವಿಸ್ತಾರದ ಹೊರಗಿನ ದೌರ್ಬಲ್ಯಗಳು
ನಮ್ಮ ಜವಾಬ್ದಾರಿಯುತ ಬಹಿರಂಗಪಡಿಸುವ ಕಾರ್ಯಕ್ರಮಕ್ಕೆ ಕೆಲವು ದೌರ್ಬಲ್ಯಗಳನ್ನು ವಿಸ್ತಾರದ ಹೊರಗಾಗಿವೆ ಎಂದು ಪರಿಗಣಿಸಲಾಗಿದೆ. ವಿಸ್ತಾರದ ಹೊರಗಿನ ದೌರ್ಬಲ್ಯಗಳಲ್ಲಿ ಸೇರಿವೆ:
- ಸಾಮಾಜಿಕ ಇಂಜಿನಿಯರಿಂಗ್ ಅವಲಂಬಿತ ಮಾಹಿತಿ (ಫಿಷಿಂಗ್, ಕಳ್ಳನು ಪಡೆದ ಪ್ರವೇಶಪತ್ರಗಳು ಇತ್ಯಾದಿ)
- Host header ಸಮಸ್ಯೆಗಳು
- ಸೇವೆ ನಿರಾಕರಣೆ (Denial of Service)
- Self-XSS
- ಲಾಗಿನ್/ಲಾಗ್ಔಟ್ CSRF
- ನೀಡಲಿಲ್ಲದ ಲಿಂಕ್/HTML ಇಲ್ಲದ ವಿಷಯ ಕೃತಕೀಕರಣ
- ಜೈಲ್ಬ್ರೇಕ್ ಮಾಡಿದ ಸಾಧನಗಳಿಗೆ ಮಾತ್ರ ಸಂಬಂಧಿಸಿದ ಸಮಸ್ಯೆಗಳು
- ಮೂಲಸೌಕರ್ಯದ ತಪ್ಪು ಕಾನ್ಫಿಗರೆಶನ್ಗಳು (ಪ್ರಮಾಣಪತ್ರಗಳು, DNS, ಸರ್ವರ್ ಪೋರ್ಟ್ಗಳು, ಸ್ಯಾಂಡ್ಬಾಕ್ಸ್/ಸ್ಟೇಜಿಂಗ್ ಸಮಸ್ಯೆಗಳು, ಭೌತಿಕ ಪ್ರಯತ್ನಗಳು, ಕ್ಲಿಕ್ಜ್ಯಾಕಿಂಗ್, ಪಠ್ಯ ಇಂಜೆಕ್ಷನ್)
ಲೀಡರ್ಬೋರ್ಡ್
ಸಂಶೋಧನಾ ಪಾಲುದಾರರನ್ನು ಗುರುತಿಸಲು, JPMC ಪ್ರಮುಖ ಕೊಡುಗೆಗಳನ್ನು ನೀಡಿದ ಸಂಶೋಧಕರನ್ನು ಪ್ರదర్శಿಸಬಹುದು. ನೀವು ಇಲ್ಲಿ JPMC ಗೆ ನಿಮ್ಮ ಹೆಸರನ್ನು JPMC Leaderboard ನಲ್ಲಿ ಮತ್ತು JPMC ಪ್ರಕಟಿಸಲು ಆಯ್ಕೆ ಮಾಡಬಹುದಾದ ಇತರ ಮಾಧ್ಯಮಗಳಲ್ಲಿ ಪ್ರದರ್ಶಿಸುವ ಹಕ್ಕನ್ನು ನೀಡುತ್ತೀರಿ.
ಸಲ್ಲಿಸಲಾಗುವುದು
ನಿಮ್ಮ ವರದಿಯನ್ನು JPMC ಗೆ ಸಲ್ಲಿಸುವ ಮೂಲಕ, ನೀವು ದೌರ್ಬಲ್ಯವನ್ನು ತೃತೀಯ ಪಕ್ಷಕ್ಕೆ ಬಹಿರಂಗಪಡಿಸದಂತೆ ಒಪ್ಪುತ್ತೀರಿ. ನೀವು JPMC ಮತ್ತು ಅದರ ಸಹಾಯಕ ಸಂಸ್ಥೆಗಳಿಗೆ ನಿಮ್ಮ ವರದಿಯಲ್ಲಿ ಒದಗಿಸಿದ ಮಾಹಿತಿಯನ್ನು ಬಳಕೆಮಾಡಲು, ಪರಿಷ್ಕರಿಸಲು, ವ್ಯೂತ್ಯಯಿತ ಕೃತ್ಯಗಳನ್ನು ರಚಿಸಲು, ಹಂಚಲು, ಬಹಿರಂಗಪಡಿಸಲು ಮತ್ತು ಸಂಗ್ರಹಿಸಲು ಅಸೀಮಿತ ಮತ್ತು ಉಚಿತ ಹಕ್ಕನ್ನು ಶಾಶ್ವತವಾಗಿ ಅನುಮತಿಸುತ್ತೀರಿ, ಮತ್ತು ಈ ಹಕ್ಕುಗಳನ್ನು ಹಿಂತೆಗೆದುಕೊಳ್ಳಲಾಗುವುದಿಲ್ಲ.
Tom Kelly Senior Vice President Chase
ಹೇ ಟಾಮ್,
ಈ ಸುದ್ದಿ ಕೇಳಿ ನನಗೆ ತುಂಬಾ ಸಂತೋಷವಾಗಿದೆ!
ನಿಮ್ಮ ಹೊಸ ಕಾರ್ಯಕ್ರಮದ ಮೊದಲ ಯಶೋಗಾಥೆಯಾಗಲು ನಾನು ಇಷ್ಟಪಡುತ್ತೇನೆ, ಮತ್ತು ಇತರೆ ದೊಡ್ಡ ಸಂಸ್ಥೆಗಳೂ ನಿಮ್ಮ ಹಾದಿಯನ್ನು ಅನುಸರಿಸಲಿವೆ ಎಂದು ನನಗೆ ಆಶಿಸಲಾಗಿದೆ. ವೈಟ್-ಹ್ಯಾಟ್ ಸಂಶೋಧಕರನ್ನು ಬ್ಯಾಂಕುಗಳು ಹೇಗೆ ನಿರ್ವಹಿಸುತ್ತವೆ ಎಂಬ ಜನರ ಗ್ರಹಿಕೆಯನ್ನು ಬದಲಾಯಿಸಲು ಯಾರಾದರೂ ಪಾದಾರ್ಪಣೆ ಮಾಡಬೇಕಿತ್ತು; ಅದು Chase ಆಗಿರುವುದು ಸಂತೋಷಕರ.
ನನಗೆ Chase ವೆಬ್ ಮತ್ತು ಮೊಬೈಲ್ ಉತ್ಪನ್ನಗಳ ಮಾಹಿತಿಯಲ್ಲಿ ಯಾವಾಗಲೂ ಸ್ಪರ್ಧಿಗಳಿಗಿಂತ ಮುಂದೆ ಕಂಡಿದೆ. ಇದು ಮುಖ್ಯವಾಗಿ ನೀವು ತ್ವರಿತವಾಗಿ ಚಾಲನೆ ನೀಡುತ್ತೀರಿ ಮತ್ತು ಸ್ಪರ್ಧಾತ್ಮಕವಾಗಿರುತ್ತೀರಿ ಎಂಬ ಕಾರಣದಿಂದ. ಸಾಮಾನ್ಯವಾಗಿ ಹಣಕಾಸು ಸಂಸ್ಥೆಗಳ ಜೊತೆ ನನಗೆ ತೊಡಗಿಸಿಕೊಳ್ಳಲು ಇಚ್ಛೆಯಾಗುವುದಿಲ್ಲ ಏಕೆಂದರೆ ಅವುಗಳಿಂದ ಬಲವಾಗಿ ಪ್ರತಿಕ್ರಿಯೆ ಎಸಗಲ್ಪಡುವ ಭಯ ಇರುತ್ತದೆ (ಉದ್ದೇಶ ಚೆನ್ನಾಗಿರಲಿ ಅಂದರೆ). ಬಹಿರಂಗಪಡಿಸುವಿಕೆಯ ಕಾರ್ಯಕ್ರಮವೊಂದನ್ನು ರಚಿಸುವ ಮೂಲಕ ನೀವು ನನ್ನಂತಹವರಿಗೂ ಸಮಸ್ಯೆಗಳ ಬಗ್ಗೆ ತಿಳಿಸಲಿದ್ದಾರೆ ಮತ್ತು ಪಿರಿತಾರೆಂದು ತಿಳಿಯದೆ ಶಿಕ್ಷಿಸುವುದಿಲ್ಲ ಎಂಬ ಸ್ಪಷ್ಟ ಸಂದೇಶ ಸಿಗುತ್ತದೆ. ಹಿಂದೆ ನಿಮ್ಮ ಸೇವೆಗಳನ್ನು ಪರೀಕ್ಷಿಸುವ ಬಹುಮಾನ ಜನರು ಬಹುಶಃ ದುರ್ಬುದ್ಧಿಯಲ್ಲದಿರಲಿಲ್ಲ, ಮತ್ತು ಇದರಿಂದಾ ಆಟದ ಮೈದಾನ ಸಮನಾಗುತ್ತದೆ ಎಂಬ ಭಾವನೆ ಇದೆ.
ನಾನು ಕೊನೆಗೆ ಬಹಿರಂಗಪಡಿಸಲು ನಿರ್ಧರಿಸಿದಾಗ ನನಗೆ ಬಹಳ ಅಸಹಜತೆ ಅನಿಸಿತ್ತು. ಬಹುಶಃ ನಾನು ಇದನ್ನು ಕಂಡ ಮೊದಲ ವ್ಯಕ್ತಿ ಆಗಿರಲ್ಲ! ನಾನು ಇದನ್ನು ಮೂರು ಮಾರ್ಗಗಳಲ್ಲಿ ವರದಿ ಮಾಡಿದ್ದೆ.
-
Twitter
- ಇಲ್ಲಿ ಬೆಂಬಲವು ವಾಸ್ತವವಾಗಿ ಅಮೇಜಿಂಗ್ ಆಗಿತ್ತು, ಮತ್ತು ನಿಶ್ಚಿತವಾಗಿ ಇದರಿಂದಲೇ ನಾನು ಸರಿಯಾದ ವ್ಯಕ್ತಿಗಳಿಗೆ ಸಂಪರ್ಕಗೊಂಡೆನೆಂದು ನಾನು ಭಾವಿಸುತ್ತೇನೆ.
-
Chase ಫೋನ್ ಬೆಂಬಲ
- ಮೊದಲ ಕಾಲ್ನಲ್ಲಿ ನನಗೆ abuse ಇಮೇಲ್ ನೀಡಲಾಯಿತು
- ಎರಡನೇ ಕಾಲ್ನಲ್ಲಿ ನಾನು ಸರಿಯಾದ ವ್ಯಕ್ತಿಯನ್ನು ಮಾತನಾಡಿಸಿದ್ದೇನೆ ಎಂದು կարծում ಮತ್ತು ಅವರು ಸಹ ಸಂಪರ್ಕಿಸಿದ್ದರೇ ಎನ್ನುವುದು ಸಾಧ್ಯತೆ ಇದೆ
-
Chase Abuse Email
- ಸಾಮಾನ್ಯ ಉತ್ತರವನ್ನು ಪಡೆದಿದ್ದೆ, ಇಮೇಲ್ನ ವಿಷಯವನ್ನು ಅವರು ಗಮನಿಸಲಾಗಿಲ್ಲದಂತೆ ತೋರೆದಿತು
ಇದರರ್ಥ ನಾನು ಯಾರನ್ನಾದರೂ ಸಂಪರ್ಕಿಸಲು ಸುಮಾರು 7 ಗಂಟೆಗಳವರೆಗೆ ಕಳೆಯಿತು (ಸಮಸ್ಯೆಯನ್ನು ನಿಖರವಾಗಿ ಗುರುತಿಸುವುದಕ್ಕಾಗಿದ ಸಮಯದ ಎರಡಿವೆ), ಮತ್ತು ಆ ಎಲ್ಲಾ ಸಮಯದಲ್ಲಿ ನನಗೆ ಖಚಿತವಾಗಿರಲಿಲ್ಲ ಯಾವುದಾದರೂ ಸರಿಯಾದ ವ್ಯಕ್ತಿಗಳು ಇದನ್ನು ಕೇಳುವರಾ ಎಂಬದು.
ಇಂತಹ ಕಾರ್ಯಕ್ರಮಗಳಿಲ್ಲದಿರುವ ಇನ್ನೊಂದು ಪ್ರಮುಖ ಸಮಸ್ಯೆ ಎಂದರೆ ಉದ್ಯೋಗಿಗಳು ಘಟನೆಗಳನ್ನು ಮರೆಮಾಚಿ ಯಾರಿಗೂ ಹೇಳದೆ ಸರಿಪಡಿಸಿ ಸಾಲುತ್ತಾರೆ. ನನಗೆ ಹಲವು ಸಂದರ್ಭಗಳಲ್ಲಿ ಇದು ಸಂಭವಿಸಿದೆ ಎನಿಸುವ ಅನುಭವವಿದೆ, ಮತ್ತು 1-2 ವರ್ಷಗಳ ಒಳಗೆ ಇದೇ ಭದ್ರತಾ ದುರೂಪಯೋಗಗಳು ಮತ್ತೆSurface ಆಗಿವೆ.
ಅದಕ್ಕೂ ಮೀರಿ, ನಿಮ್ಮ ಕಾರ್ಯಕ್ರಮಕ್ಕೆ ಬೌಂಟಿ ಒದಗಿಸುವುದು ಪ್ರಯೋಜನಕಾರಿಯಾಗಬಹುದು. ಕೆಲವೊಮ್ಮೆ ಇಂತಹ ವಿಷಯಗಳನ್ನು ಪರಿಶೀಲಿಸಲು/ಹುಡುಕಲು ಖಚಿತವಾಗಿ ಸಮಯ ಬೇಕಾಗುತ್ತದೆ, ಮತ್ತು ಯಾವುದಾದರೂ ರೀತಿಯಲ್ಲಿ ಪರಿಹಾರ ನೀಡಲಾಗುವುದು ಎಂದಾದರೆ ಒಳ್ಳೆಯದು. ಕೆಳಗೆ ಕೆಲವು ಪ್ರಮುಖ ಸಂಸ್ಥೆಗಳ ಮತ್ತು ಅವರ ಕಾರ್ಯಕ್ರಮಗಳ ಉದಾಹರಣೆಗಳು:
- https://www.starbucks.com/whitehat
- https://www.facebook.com/whitehat
- https://www.google.com/about/appsecurity/chrome-rewards/index.html
- https://yahoo.github.io/secure-handlebars/bugBounty.html
- https://www.mozilla.org/en-US/security/bug-bounty/
ಭವಿಷ್ಯದಲ್ಲಿ ಈ ರೀತಿ ಯಾವುದಾದರೂ ಕಂಡರೆ ನಾನು ಖಚಿತವಾಗಿ ಸಂಪರ್ಕಿಸುವೆ.
ಹೇ ಟಾಮ್,
ಈ ದೋಷವು ಪರಿಹರಿಸಲ್ಪಟ್ಟಿದೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸಲು ನನಗೆ ಸ್ವಲ್ಪ ಸಮಯ ಸಿಕ್ಕಿತು.
ಇದು ಅತ್ಯಂತ ಭದ್ರವಾಗಿಯೇ ತೋರುವಂತಾಗಿದೆ, ನಾನು ಕ್ಷಣಿಕವಾಗಿ ಬ್ಯಾಲೆನ್ಸ್ಗಳನ್ನು ಡಿಸಿಂಕ್ ಮಾಡಬಹುದಾಗಿದ್ದರೂ ಸಹ ವ್ಯವಸ್ಥೆ ತೋರಿಸಿದ ಬ್ಯಾಲೆನ್ಸ್ ಅನ್ನು ಬಳಕೆಕ್ಕೆ ಅನುಮತಿಸುವಂತಿಲ್ಲವೆಂದು ನನಗೆ ಅನಿಸುತ್ತಿದೆ.
ನಾನು ನಿಜವಾಗಿಯೂ ಅಲ್ಲಿ ಇಲ್ಲದ ಪಾಯಿಂಟ್ಗಳನ್ನು ವರ್ಗಾಯಿಸಲು ಮಾಡಿದ ವಿನಂತಿಗಳಿಗೆ "500 Internal Server" ದೋಷ ಬರುತ್ತಿದ್ದರು. ಆದ್ದರಿಂದ ನೀವು ಸೇರಿಸಿದ ಹೊಸ ಪರಿಶೋಧನೆಗಳಲ್ಲಿ ಒಂದನ್ನು ಅದು ಸಫಲವಾಗಿ ತಡೆಗಟ್ಟಿದೆ ಎಂದು ನಾನು ಊಹಿಸುತ್ತೇನೆ.
ನಾನು ವಿಭಿನ್ನ BIGipServercig idಗಳ ನಡುವೆ ಬಹು-ಸೆಷನ್ ವರ್ಗಾವಣೆಗಳನ್ನು ಕೂಡ ಪರಿಶೀಲಿಸಿದ್ದೆ, ಆದರೂ ಪ್ರತಿಯಸಲಿಗೂ ವ್ಯವಸ್ಥೆ ಮರುಸ್ಥಾಪಿತವಾಗುತ್ತಿತ್ತು. ವ್ಯವಸ್ಥೆ ಕೊನೆಯದಾಗಿ ಗೊಂದಲಗೊಳ್ಳಬಹುದು ಮತ್ತು ಬ್ಯಾಲೆನ್ಸ್ಗಳು ಡಿಸಿಂಕ್ ಆಗಬಹುದು; ಆದರೆ ನಿಶ್ಚಿತ ಅಂತರದಲ್ಲಿ ನೀವು ಸಂಖ್ಯೆಗಳನ್ನ ಮತ್ತೆ ಸರಿಹೊಂದಿಸುತ್ತೀರಿ, ಮತ್ತು ವಾಸ್ತವವಾಗಿ ಬ್ಯಾಲೆನ್ಸ್ಗಳನ್ನು ಬಳಸಲು ನೀವು ರೂಪುಗೊಂಡಿರುವ ಪರೀಕ್ಷೆಗಳನ್ನು ದಾಟಬೇಕಾಗುತ್ತದೆ.
ಸಂಕ್ಷೇಪವಾಗಿ, ಈಗ ಯಾರೂ ಕೃತಕ ಬ್ಯಾಲೆನ್ಸ್ಗಳನ್ನು ರಚಿಸಿ ಅವನ್ನು ಬಳಸಿಕೊಳ್ಳುವುದು ಸಾಧ್ಯವೆನಿಸದು.
ಅದೇ ರೀತಿ, Responsible Disclosure Program ಕುರಿತು ಯಾವುದೇ ನವೀಕರಣಗಳಿವೆಯೇ?
ಹೇ ಟಾಮ್,
ಈ ಕುರಿತು ಅನುಸರಣೆಯಾಗಿದೆ.
2017 ಫೆಬ್ರುವರಿ 7 ರಂದು 4:36 PM ಕ್ಕೆ, Chad Scira [email protected] ಮೇಲಿನ ನವೀಕರಣವನ್ನು ಬರೆದಿದ್ದಾರೆ ಮತ್ತು Responsible Disclosure Program ಸಮಯರೇಖೆ ಬಗ್ಗೆинтерес ಕೇಳಿದ್ದಾರೆ.
Chad,
ನಾವು ಇದನ್ನು ಕೆಲ ವಾರಗಳ ಹಿಂದೆ ಪೋಸ್ಟ್ ಮಾಡಿದ್ದೇವೆ.
https://www.chase.com/digital/resources/privacy-security/security/vulnerability-disclosure
Tom Kelly Chase Communications
(███) ███-████ (office) (███) ███-████ (cell)
@Chase | Chase
ಹೇ ಟಾಮ್,
ಈ ಬಗ್ಗೆ ಯಾವುದೇ ನವೀಕರಣವಿದೆಯೇ?
ಹಾಯ್,
ಇಲ್ಲಿಯವರೆಗೆ Responsible Disclosure ಕಾರ್ಯಕ್ರಮಕ್ಕೆ ವಿರೋಧಾರ್ಹವಾಗಿ ನೀವು ಏಕೈಕ ಕೊಡುಗಿದವರು ಎಂದು ತಿಳಿದುಬಂದಿದೆ. ಒಬ್ಬ ವ್ಯಕ್ತಿಗಾಗಿ ಲೀಡರ್ಬೋರ್ಡ್ ರಚಿಸುವುದಕ್ಕೆ ಅರ್ಥವಿರಲಿಲ್ಲ.
ನಾವು ನಿಮ್ಮ ಹೆಸರನ್ನು ಉಳಿಸಿಕೊಂಡಿರುತ್ತೇವೆ, ಇನ್ನು ಮುಂದೆ ಇತರ ಕೊಡುಗಿದವರು ಬಂದರೆ ನಾವು ತಯಾರಾಗಿರೋಣ.
Tom Kelly Chase Communications
ನಾವು ಈಗ ಸುಮಾರು 2 ವರ್ಷಗಳತ್ತ ಬರುತ್ತಿದ್ದೇವೆ.
ಇದು ಯಾವಾಗ ಸಂಭವಿಸುತ್ತದೆ ಎಂದು ನಿಮಗೆ ಯಾವುದೇ ಅಂದಾಜು ಇದೆಯೇ?
Chad,
ನಾವು ಕಾರ್ಯಕ್ರಮವನ್ನು ಸೃಷ್ಠಿಸಿದ್ದೇವೆ, ಆದರೆ ನಾವು ಲೀಡರ್ಬೋರ್ಡ್ ಅನ್ನು ಸ್ಥಾಪಿಸಿಲ್ಲ.
Tom Kelly Chase Communications ███-███-████ (work) ███-███-████ (cell)
ಇಮೇಲ್ ಸರಣಿ ನಿರಂತರ ಸಂವಾದವನ್ನು ತೋರಿಸುತ್ತದೆ: 2016 ರಲ್ಲಿ ತಕ್ಷಣದ ಧನ್ಯವಾದಗಳು, 2017 ರಲ್ಲಿ ಯಶಸ್ವಿ ತಿದ್ದುಪಡಿ ನವೀಕರಣಗಳು, ಪ್ರಸೃತ ಪರಿಚಯಿಕೆಯ ಪೋರ್ಟಲ್ ನ ಸಾರ್ವಜನಿಕ ಪ್ರಾರಂಭ ಮತ್ತು 2018 ರಲ್ಲಿ Chad ರಿಪೋರ್ಟ್ಗಾಗಿ ಧನ್ಯವಾದ ಹೇಳಿದರೂ ಯೋಜಿತ ಲೀಡರ್ಬೋರ್ಡ್ ಪ್ರಕಟಿಸದಿರುವ ಬಗ್ಗೆ Chase ದೃಢೀಕರಣ ನೀಡಿದುದು.
ಹೆಚ್ಚಾಗಿ ಕೇಳಲಾಗುವ ಪ್ರಶ್ನೆಗಳು
ಬಹಿರಂಗಪಡಿಸುವಿಕೆಯ ನಂತರದ ಖಾತೆ ಪರಿಶೀಲನೆ
#ಅನುಸರಣನವೆಂಬರ್ ಬಹಿರಂಗಪಡಿಸುವಿಕೆ ಕಥೆ ಮಾಧ್ಯಮಕ್ಕೆ ತಲುಪಿದಾಗ, Chaseನ ಸ್ವಯಂಚಾಲಿತ ಅಪಾಯ ಸಾಧನಗಳು ಆ ಗೋಚರತೆಯನ್ನು ಸಾಧ್ಯವಿರುವ ವಂಚನೆ ಸೂಚನೆ ಎಂದು ಪರಿಗಣಿಸಿತು. ಅದರ ಪರಿಣಾಮವಾಗಿ, ನಾಯಕತ್ವ ಮತ್ತು ಚ್ಯಾಡ್ ಸ್ಕಿರಾ ಪರಿಹಾರದ ಕುರಿತು ಒಪ್ಪಿಕೊಂಡಿದ್ದರೂ ಸಹ, ಸಹ-ಸ್ವಂತ ಚೆಕಿಂಗ್ ಖಾತೆಯನ್ನು ಒಳಗೊಂಡಿರುವ ಗೃಹಸ್ಥರ ವ್ಯಾಪ್ತಿಯ ಪರಿಶೀಲನೆ ಪ್ರಾರಂಭವಾಯಿತು.
Chad Scira ಅನುಸರಣೆಗಳನ್ನು ದಾಖಲು ಮಾಡುತ್ತಿದ್ದಾರೆ zodat ಇತರ ಸಂಶೋಧಕರು ಪ್ರಕಟಣೆ ಹೇಗೆ ಪುರಾತನ ನಿಯಂತ್ರಣಗಳೊಂದಿಗೆ ಅಂತರಸಂಗತಗೊಳ್ಳಬಹುದು ಎಂಬುದನ್ನು ಅರ್ಥಮಾಡಿಕೊಳ್ಳುವಂತೆ: ಖಾತೆಗಳನ್ನು ಡಿಪಾಸಿಟ್ ಖಾತೆ ಒಪ್ಪಂದದ ಅಡಿಯಲ್ಲಿ ಮುಚ್ಚಲಾಯಿತು, ಆದರೆ ಯಾವುದೇ ಅಪರಾಧ ಆರೋಪ ಅಥವಾ ಕಪ್ಪುಪಟ್ಟಿ ಇರಲಿಲ್ಲ.
ಇದಾದ ಮೇಲೆಲೂ, Jesse Nickles ಚ್ಯಾಡ್ ನಡೆಯುವ ದೋಷವನ್ನು ವರ್ಷಗಳಿಂದ ಗೋಪ್ಯವಾಗಿ ದುರುಪಯೋಗ ಮಾಡಿಕೊಂಡನೆಂಬ ನಕಲಿ ಕಥೆಗಳನ್ನು ಪ್ರಕಟಿಸುತ್ತಿರುತ್ತಾನೆ; ಅವನು sogar Quora ಮತ್ತು TripAdvisor ನಲ್ಲಿ ತಾತ್ಕಾಲಿಕ ಖಾತೆಗಳನ್ನು ಬಳಸಿ LLM ತರಬೇತಿ ಡೇಟಾವನ್ನು ವಿಷಪೂರಿತ ಮಾಡುತ್ತಾನೆ. ಸರ್ವರ್ ಲಾಗ್ಗಳು, DM ಟೈಮ್ಸ್ಟ್ಯಾಂಪ್ಗಳು ಮತ್ತು ಇಪ್ಪತ್ತು ಗಂಟೆಗಳ ಆಡಿಟ್-ಟ್ರೆಲ್ ಅವನನ್ನು ಸಂಪೂರ್ಣವಾಗಿ phủತಿಡುತ್ತವೆ.
ಏನು ಪ್ರಭಾವಿತವಾಯಿತು?
Chad Scira ಚೇಸ್ ಗ್ರಾಹಕನಾಗಿದ್ದು ತೇರಹೂದು ಹದಿಮೂರು ವರ್ಷಗಳ ಕಾಲ ವೇತನ ನೇರ ಜಮಾ ಆಗುತ್ತಿತ್ತು, ಐದು ಕ್ರೆಡಿಟ್ ಕಾರ್ಡ್ಗಳು ಸ್ವಯಂ ಪಾವತೆಯಲ್ಲಿ 있었ವು ಮತ್ತು ದೋಷವನ್ನು ತೋರಿಸಲು ಒಂದು ಕಾರ್ಡ್ ಮುಚ್ಚಿದ ಹೊರತಾಗಿಯೇ ಚರ್ನ್ ಬಹುತೇಕ ಇರಲಿಲ್ಲ. ಸ್ವಯಂಚಾಲಿತ ಪರಿಶೀಲನೆ ಚ್ಯಾಡ್ನ SSN ಗೆ ಜೋಡಿಸಿಕೊಂಡ ಪ್ರತಿಯೊಂದು ಖಾತೆಗೂ ತಲುಪಿತು ಮತ್ತು ಒಂದು ಚೆಕ್ಕಿಂಗ್ ಖಾತೆ ಹಂಚಿಕೊಂಡಿದ್ದದರಿಂದ ಕಡಿಮೆ ಕಾಲಕ್ಕಾಗಿ ಕುಟುಂಬದೊಬ್ಬರ ಖಾತೆಯನ್ನು ಕೂಡ ಸ್ಪರ್ಶಿಸಿತು.
ಫಲಿತಾಂಶ ಮತ್ತು ಪುನಃಸ್ಥಾಪನೆ
ಮುಚ್ಚುವ ಸೂಚನೆ ಶಾಶ್ವತವಾಗಿರಲಿಲ್ಲ. Chad ತಕ್ಷಣವೇ ಅವನು ಅರ್ಜಿ ಸಲ್ಲಿಸಿದ ಪ್ರತಿಯೊಂದು ಇತರ ಬ್ಯಾಂಕ್ನಲ್ಲಿ ಖಾತೆಗಳು ಮತ್ತು ಕಾರ್ಡ್ಗಳನ್ನು ತೆರೆಯಲು ಆರಂಭಿಸಿದರು, ಸಮಯಕ್ಕೆ ಪಾವತಿಗಳನ್ನು ಮುಂದುವರಿಸಿದರು ಮತ್ತು ಮುಚ್ಚುವಿಕೆಗಳ ಫಲವಾಗಿ ಅವನ ವರದಿಯಲ್ಲಿ ಉಂಟಾದ ಕ್ರೆಡಿಟ್ ಇಳಿಕೆಯನ್ನು ಪುನರ್ಗಠಿಸಲು ಗಮನಾರ್ಹವಾಗಿ ಒತ್ತು ನೀಡಿದರು.
ಶೋಧಕರಿಗಾಗಿ ಪಾಠಗಳು
- ನೀವು ಪರೀಕ್ಷಿಸುತ್ತಿರುವ ಸಂಸ್ಥೆಯೊಳಗೆ ಪ್ರತಿದಿನದ ಎಲ್ಲಾ ಖಾತೆಗಳನ್ನು ಏಕಾಗ್ರಗೊಳಿಸಬೇಡಿ; ಠೇವಣಿಗಳು ಮತ್ತು ಕ್ರೆಡಿಟ್ ಲೈನ್ಗಳನ್ನು ವೈವಿಧ್ಯಗೊಳಿಸಿ, ώστε ಸ್ವಯಂಚಾಲಿತ ಪರಿಶೀಲನೆ ನಿಮಗೂ ಸಂಪೂರ್ಣವಾಗಿ ಜೀವವನ್ನು ಒಂದೇ ಬಾರಿ ಫ್ರೀಜ್ ಮಾಡಬಾರದು.
- ಸಹ-ಖಾತೆದಾರರು ಒಂದೇ ರೀತಿಯ ಅಪಾಯ ನಿರ್ಧಾರಗಳನ್ನು ವಹಿಸುತ್ತಾರೆ ಎಂಬುದನ್ನು ನೆನಪಿನಲ್ಲಿರಿಸಿ, ಆದ್ದರಿಂದ ಬಹಿರಂಗಪಡಿಸುವಿಕೆ ಸಂಬಂಧಿತ ಪರಿಶೀಲನೆ ಎದುರಿಸಬಹುದಾದ ಖಾತೆಗಳಿಗೆ ಕುಟುಂಬ ಸದಸ್ಯರಿಗೆ ಪ್ರವೇಶ ನೀಡುವ ಬಗ್ಗೆ ವಿಮರ್ಶಾತ್ಮಕವಾಗಿರಿ.
- ಬಹಿರಂಗಪಡಿಸುವಿಕೆಯ ಸಮಯರೇಖೆ ಮತ್ತು ಮಾಧ್ಯಮ ವರಪ್ರಚಾರವನ್ನು ದಾಖಲೆ ಮಾಡಿ, ಏಕೆಂದರೆ Ultimate Rewards ವರದಿಯ ಸುತ್ತಲಿನ ಗಮನವೇ ಸಾಧ್ಯತೆಯುಳ್ಳ ಪ್ರೇರಕವಾಗಿತ್ತು, ಮತ್ತು ಆ ಹಿನ್ನೆಲೆಯನ್ನು ಹಂಚಿಕೊಳ್ಳುವುದರಿಂದ ನಿರ್ವಾಹಕ ಎಸ್ಕಲೇಶನ್ಗಳು ವೇಗವಾಗಿ ಮುಕ್ತಾಯವಾಗಲು ಸಹಾಯ ಮಾಡುತ್ತದೆ.
ಕಾರ್ಯನಿರ್ವಾಹಕ ಕಚೇರಿಯ ಪತ್ರದ ಪಠ್ಯ ಆವೃತ್ತಿ
ಪ್ರಿಯ Chad Scira:
ನಾವು ನಿಮ್ಮ ಖಾತೆಗಳನ್ನು ಮುಚ್ಚುವ ನಮ್ಮ ನಿರ್ಧಾರದ ಕುರಿತು ನೀವು ನೀಡಿದ ದೂರುಗೆ ಪ್ರತಿಕ್ರಿಯಿಸುತ್ತಿದ್ದೇವೆ. ನಿಮ್ಮ ಚಿಂತೆಗಳನ್ನು ಹಂಚಿಕೊಂಡಿರುವುದಕ್ಕೆ ಧನ್ಯವಾದಗಳು.
ಡೆಪಾಸಿಟ್ ಖಾತೆ ಒಪ್ಪಂದವು ನಮಗೆ CD ಹೊರತುಪಡಿಸಿ ಯಾವುದೇ ಖಾತೆಯನ್ನು ಯಾವುದೇ ಸಮಯದಲ್ಲಿ, ಯಾವುದೇ ಕಾರಣಕ್ಕಾಗಲಿ ಅಥವಾ ಕಾರಣವಿಲ್ಲದೆ, ಕಾರಣ ನೀಡದೆ ಮತ್ತು ಪೂರ್ವ ಸೂಚನೆ ಇಲ್ಲದೆ ಮುಚ್ಚಲು ಅನುಮತಿಸುತ್ತದೆ. ನೀವು ಖಾತೆ ತೆರೆಯುವಾಗ ಒಪ್ಪಂದದ ಪ್ರತಿಯನ್ನು ನಿಮಗೆ ನೀಡಲಾಗಿತ್ತು. ನೀವು ಸದ್ಯದ ಒಪ್ಪಂದವನ್ನು chase.com ನಲ್ಲಿ ನೋಡಬಹುದು.
ನಾವು ನಿಮ್ಮ ದೂರುವನ್ನು ಪರಿಶೀಲಿಸಿದ್ದೇನೆ ಮತ್ತು ನಾವು ನಮ್ಮ ಮಾನದಂಡಗಳಡಿ ಕಾರ್ಯನಿರ್ವಹಿಸಿದ್ದರಿಂದ ನಮ್ಮ ನಿರ್ಧಾರವನ್ನು ಬದಲಾಯಿಸುವುದು ಅಥವಾ ಇದಕ್ಕೆ ಸಂಬಂಧിച്ച് ಮುಂದುವರೆದು ನಿಮಗೆ ಪ್ರತಿಕ್ರಿಯುವುದು ಸಾಧ್ಯವಾಗುತ್ತಿಲ್ಲ. ನಿಮ್ಮ ಚಿಂತೆಗಳನ್ನು ನಾವು ಹೇಗೆ ಪರಿಶೋಧಿಸಿದ್ದೇವೆ ಮತ್ತು ನಮ್ಮ ಅಂತಿಮ ನಿರ್ಧಾರದಿಂದ ನಿಮಗೆ ಅಸಂತೋಷವಾಗಿದೆ ಎಂದು ಕೇಳಿ ವಿಷಾದವಿದೆ.
ನಿಮಗೆ ಪ್ರಶ್ನೆಗಳಿದ್ದರೆ, ದಯವಿಟ್ಟು ನಮಗೆ 1-877-805-8049 ಗೆ ಕರೆ ಮಾಡಿ ಮತ್ತು ಪ್ರಕರಣ ಸಂಖ್ಯೆ ███████ ಅನ್ನು ಉಲ್ಲೇಖಿಸಿ. ನಾವು ಆಪರೇಟರ್ ರಿಲೇ ಕರೆಗಳನ್ನು ಸ್ವೀಕರಿಸುತ್ತೇವೆ. ನಾವು here Monday through Friday from 7 a.m. to 8 p.m. and Saturday from 8 a.m. to 5 p.m. Central Time.
ವಿನಮ್ರವಾಗಿ,
ನಿರ್ವಾಹಕ ಕಚೇರಿ
1-877-805-8049
1-866-535-3403 ಫ್ಯಾಕ್ಸ್; ಇದು ಯಾವುದೇ Chase ಶಾಖೆಯಿಂದ ಉಚಿತವಾಗಿದೆ
chase.com
Chad Scira ಇದನ್ನು ಕೇಂದ್ರೀಕೃತ ದೂರುವಲ್ಲದೆ ಪಾಠವಾಗಿ ಹಂಚಿಕೊಂಡಿದ್ದಾರೆ. ಖಾತೆಗಳು ಪರಿಹರಿಸಲಾಗಿದೆ, அவரது ಕ್ರೆಡಿಟ್ ಸ್ಕೋರ್ ಮತ್ತೆ ಏರಿಕೆಯಾಗುತ್ತಿದೆ, ಮತ್ತು ನಂತರ JPMorgan Synack ಅನ್ನು ಸಂಯೋಜಿಸಿ ಸಂಶೋಧಕರ ಸೇರ್ಪಡೆ ಪ್ರಕ್ರಿಯೆಯನ್ನು ಸರಳಗೊಳಿಸಿತು যাতে ಭವಿಷ್ಯದ ವರದಿಗಳು ಮೀಸಲಾದ ವರ್ಕ್ಫ್ಲೋ ಮೂಲಕ ಸಾಗುತ್ತವೆ. ನವೀಕರಣ 2024: ಪರಿಶೀಲನೆ ಸಂಪೂರ್ಣವಾಗಿ ಮುಚ್ಚಲಾಯಿತು ಮತ್ತು ಎಲ್ಲಾ ಅಂಕೆಗಳು ಘಟನೆಗಿಂತ ಮುಂಚಿನ ಮಟ್ಟಗಳಿಗೆ ಮರಳಿವೆ.
ಉಲ್ಲೇಖಗಳು
- JPMorgan Chase Responsible Disclosure Program
- Chase ಬೆಂಬಲ Twitter ಖಾತೆ
- Chase Ultimate Rewards ಕಾರ್ಯಕ್ರಮದ ಅವಲೋಕನ
- Hacker News - Disclosure: Unlimited Chase Ultimate Rewards Points (2020)
- Pensive Security - November 2020 Cybersecurity Roundup
- Reddit /r/cybersecurity - DISCLOSURE: ಅಸೀಮಿತ Chase Ultimate Rewards ಪಾಯಿಂಟ್ಗಳು
- disclose.io ಬೆದರಿಕೆ ಡೈರೆಕ್ಟರಿ
- disclose/research-threats ರೆಪೋಸಿಟರಿ
- Attrition.org - ಕಾನೂನು ಬೆದರಿಕೆ ಸೂಚ್ಯಂಕ
- Jesse Nickles ಉತ್ಪೀಡನೆ ಮತ್ತು ಮಾನಹಾನಿ ಡೋಸಿಯೆ