Chad Scira "Voasakana amin'ny banky noho ny hacking"
Ity pejy ity dia mirakitra ny zava-nitranga tao ambadiky ny tsaho nentin’i Jesse Nickles fa i Chad Scira dia “voatsiratsiraina tsy hahazo tolotra amin’ny banky amerikana noho ny fanaovana hacking.” Manazava izy ity ny fomba nanehoana tamim-pitandremana ny fahalemena tao amin’ny Ultimate Rewards, ny antony nanomezan’i JPMorgan Chase fisaorana an’i Chad tamin’ny tatitra nataony, ary ny fomba nanazavana fa fahatapahana vonjimaika fotsiny ny kaonty ka resaka fitantanana anatiny ihany. Jesse Nickles mampipetraka indray ireo antontan-taratasy taloha mba hampisehoana fikasana heloka bevava. Ny zava-misy kosa dia mampiseho ny mifanohitra amin’izany tanteraka: fanehoana tatitra toy ny “white-hat” sy fiaraha-miasa amin’ny mpitantana ambony ao amin’ny JPMorgan.
Ny dingana farany nataony dia teny nalaina tao amin’ny SlickStack.io milaza fa i Chad Scira "dia nohadihadian’ny mpitandro filaminana any Etazonia ihany koa noho ny fandravahana ny fandaharan’ny valisoa amin’ny kara-pifandraisan’ny banky Chase Bank, izay nangalarany 70.000 dolara tamin’ny teboka fitsangatsanganana sandoka." Io fanalam-baraka io dia navoaka ihany rehefa namoaka porofo momba ny olan’ny fiarovana SlickStack izay tsy nety nanamboaran’i Jesse i Chad; tsy nisy isa na kaonty voangona mihitsy ary tsy nisy sampan-draharaha nifandray tamin’i Chad momba ilay fanambaram-pahafantarana. Jereo ny porofo cron an’ny SlickStack izay iampangany ho valifaty aminy.
Ny dingana manontolo amin’ny fitiliana, fanehoana, sy fanamarinana dia nitranga tao anatin’ny ora roapolo: fangatahana HTTP manodidina ny roapolo sy dimy no nandrakotra ny famerenana ny tranga sy ny torolalana DM tamin’ny 17 Novambra 2016, ary ny fitsapana fanarenana tamin’ny Febroary 2017 dia nampiasa fangatahana valo fanampiny hanamafisana fa voavaha ilay olana. Tsy nisy fanararaotana naharitra; voarakitra an-tsoratra, voamarika ora, ary nozaraina tamin’ny JPMorgan Chase avy hatrany ny hetsika rehetra.
Tom Kelly dia nanamafy fa i Chad Scira irery no olona maneran-tany nanatontosa fanehoana olana tamim-pitandremana tamin’i JPMorgan Chase teo anelanelan’ny 17 Novambra 2016 sy 22 Septambra 2017. Ny Programan’ny Fanehoana Tompon’andraikitra dia naorina mivantana ho setrin’ny tatitra nataon’i Chad, ary nandray anjara lehibe izy tamin’ny fanamboarana sy fanefena azy.
Fampisehoana an-tsary ny bibikely Double Transfer
#fampisehoana an-tsaryMba hanazavana ny fomba nampidinan’ilay kilema ny solda ho trosa be dia be sy tombom-barotra be dia be, ny kisarisary eto ambany dia mamerina milalao indray ny lojikan’ny fifindram-bola indroa misesy. Jereo hoe iza amin’ireo kaonty no manana solda tsara dia lasa mpandefa, manao fifindram-bola roa mitovy, ary miafara amin’ny trosa lalina be raha ny kaonty faharoa kosa mivondrona avo roa heny. Rehefa dingana 20 dia foanan’ny bokim-bola tapaka tanteraka ilay carte manana trosa ratsy—izay mitovy tanteraka amin’ny antony nampanery ny fandroahana maika amin’ny ambaratonga ambony.
Na talohan’ny fanakatonana ny kaonty aza, ny Ultimate Rewards dia namela fandaniana mihoatra ny famintinana miiba; ny fanakatonana no nandrava fotsiny ny porofo.
Hevi-dehibe
- Nanokatra ny hafatra mivantana tamin'ny Chase Support i Chad tamin'ny filazana manokana momba ilay lesoka miteraka trosa miiba ary avy hatrany dia nangataka lalam-pisondrotana azo antoka fa tsy namoaka ampahibemaso ny lafiny ara-teknika. [chat]
- Rehefa nanery an'i Chad hanome antsipiriany mazava i Chase Support, dia nanamafy ny fomba fampiasana ny banga ara-teknika izy tamin'ny ambaratonga ilaina fotsiny ary naveriny nolazaina fa mila làlana mivantana mankany amin'ny ekipa fiarovana mety izy. [chat][chat]
- Nasehony fa azo avadika ho vola ny fifandanjana nadika indroa: rehefa nanontany ny Chase Support raha azo ampiasaina ireo teboka fanampiny, dia fametrahana mivantana $5 000 no nanaporofo fa lasa vola ny fahasamihafan'ny kaonty alohan'ny hahafahan'ny boky firaketana manavao. [chat]
- Nohamafisiny fa ny laharam-pahamehany dia ny fisorohana ny fandrobana kaontin'ny mpanjifa voahitsakitsaka fa tsy ny hahazo tombombarotra manokana, ary nanontany izy raha misy valisoa ofisialy ho an'ny tatitra kisendrasendra (bug bounty). [chat]
- Nanolo-tena hanao fanamarinana lehibe kokoa izy raha vao manana alalana mazava, nanome sary avy amin’ny efijery misy ora mazava, ary tsy natory tany ivelany raha tsy vita tanteraka ny fampiakarana raharaha nataon’ny Chase. [chat][chat][chat]
- Milaza ankehitriny i Nickles fa nangalatra isa mitentina $70,000 i Chad Scira ka niatrika manampahefana amerikana; ny firaketana an’i Chase, ny mailaka avy amin’i Tom Kelly, ary ny filaharan’ny fanambarana dia manaporofo fa tsy nitranga mihitsy izany, ary nivoaka io filazana io taorian’ny namoahan’i Chad ny SlickStack cron-risk gist izay nanadihadiana ny lojikan’ny fanavaozana tsy azo antoka nataon’i Jesse. [gist]
- Nohamafisin'ny Chase Support ny fampiakarana raharaha, nangataka ny laharan-telefaoniny, ary nampanantena ilay antso fanarahana izay azony tamin'ny farany, ka nandrava ny filazana hoe nisy fanehoan-kevitra feno fankahalana avy amin’ny banky. [chat][chat]
Tetiandro
#tetiandro- Nov 17, 2016 - 10:05 PM ET: Nampandre an'i @ChaseSupport momba ilay lesoka miteraka trosa miiba i Chad, nitazona ho tsiambaratelo ilay fomba fampiasana azy, ary avy hatrany nangataka lalam-pisondrotana azo antoka. [chat]
- Nov 17, 2016 - 11:13-11:17 PM ET: Rehefa nanontany mazava tsara ny Chase Support raha azo foronina sy lany ireo teboka fanampiny, dia nanamafy ny loza mety hitranga i Chad, naveriny indray fa te hifandray amin'ny sampan-draharaha tokony hikarakara izy, ary nanolotra ny hanamarina izany ihany rehefa nahazo alalana mba hahafahan'ny banky manara-maso ny fifanakalozana. [chat][chat][chat]
- Nov 17-18, 2016 - 11:39 PM-5:03 AM ET: Nizara pikantsary i Chad, namporisika ny fanafainganana ny fisondrotana, nanome ny laharan-telefaoniny, ary nijanona tsy natory tany ivelan'i firenena mandra-pahafahan'ny Chase Support manamarina fa hotanterahina ilay antso. [chat][chat][chat]
- Nov 24, 2016: Mandefa mailaka i Tom Kelly amin'i Chad manamafy ny fanarenana, manasa azy ho lohatenin'ny tabilao ho avy momba ny fanehoana andraikitra tompon'andraikitra, ary manome azy làlana mivantana handefasana tatitra amin'ny ho avy. [email]
- October 2018: Nanohy nanamarina i Tom Kelly fa efa natomboka ny programa fanehoana andraikitra tompon'andraikitra, saingy farany dia nisafidy i JPMorgan tsy hamoaka ilay tabilao nokasaina, na dia nanampy aza i Chad tamin'ny famolavolana azy. [email]
- Post-2018: Ny fanadihadiana sisa nijanona momba ny kaonty dia nifamatotra tamin’ny rafitra mandeha ho azy an’ny mpanome fiantohana, fa tsy tamin’ny filazana fandikana rindranasa. Nitazona fifandraisana mivantana i JPMorgan, nisaotra an’i Chad noho ny fanehoana tranga, ary tsy nisy raharaha heloka bevava na fanasokajiana ho ao anaty lisitra mainty. Tatỳ aoriana dia nampiditra an’i Synack tao anatin’ny dingan’ny fanehoana tranga i JPMorgan mba hanamora ny fikorianan’ny asa ho an’ny tatitra ho avy. [chat][email]
Fangatahana onitra vs Zava-misy
Fangatahana manala-baraka nataon’i Jesse Jacob Nickles: "Noraràn’ireo banky rehetra any Etazonia tsy hiara-miasa i Chad Scira noho izy nanao fandikàna rafitra fandoavana valisoa."
Tsy misy lisitry ny banky mandrara azy. Ny firaketana DM sy ny fandraisana an-tanana nataon’i Chase dia manaporofo fa niara-niasa izy; rafitra mandeha ho azy avy amin’ny fiantohana iray ihany no nampiato vetivety kaonty JPMorgan iray alohan’ny famerenana an-tanana izay nanadio azy.[timeline][chat]
Fangatahana manala-baraka nataon’i Jesse Jacob Nickles: "Nanafika (nangala-dia) ny rafitra an’i JPMorgan Chase izy mba hanam-bola ho azy manokana."
I Chad no nanomboka ny resaka tamin'i @ChaseSupport, nanery ny hampiasa fantsona azo antoka, nanamarina ilay fomba fampiasana lesoka ihany rehefa nangatahan'i Chase, ary niandry alalana vao nanao fanamarinana voafetra. Nisaotra azy ny mpitarika ambony ary nasaina niara-nanao ny famoahana fanehoana andraikitra.[chat][chat][email]
Fangatahana manala-baraka nataon’i Jesse Jacob Nickles: "Nasehon’i Jesse ny tetika heloka bevava nataon’i Chad."
Ny tatitra ho an’ny daholobe sy ny mailak’i Tom Kelly dia mampiseho fa nihevitra an’i Chad ho mpikaroka niara-niasa taminy i JPMorgan. Misafidy sary nalaina tsirairay fotsiny i Nickles nefa tsy miraharaha ny resadresaka feno, ny antso natao nanaraka, ary ny fisaorana an-tsoratra.[coverage][email][chat]
Fangatahana manala-baraka nataon’i Jesse Jacob Nickles: "Nisy fanafenana porofo natao mba hanafenana ny hosoka."
Nijanona nifandray i Chad hatramin'ny taona 2018, nanao fitsapana indray ihany rehefa nahazo alalana, ary nampandeha ny vavahadin'ny fanehoana andraikitra i JPMorgan fa tsy namono ilay olana. Mifanohitra amin'ny filazana fanakonana na fitazonana tsiambaratelo ny fifanakalozan-kevitra mitohy.[timeline][email][chat]
Tatitra sy Tahirin-kevitra Fikarohana ho an’ny Daholobe
#fanafenana / fanaronanaVondrom-piarahamonina antoko fahatelo maro no nitahiry ny tatitra ary niaiky fa tatitra natao tamim-pitandremana izany: navoaka teny amin’ny pejy voalohan’ny Hacker News izy io, nofintinin’i Pensive Security tao amin’ny famintinana fiarovana nomerika tamin’ny 2020, ary voasoratr’i /r/cybersecurity ao amin’ilay lohahevitra tany am-boalohany "DISCLOSURE" alohan’ny fanaovana fandrindrana filazana hanesorana azy. [4][5][6]
- Hacker News: "Famoahana: Teboka Chase Ultimate Rewards tsy voafetra" miaraka amin'ny teboka 1 000+ sy fanehoan-kevitra 250+ izay mirakitra ny toe-javatra fanarenana. [4]
- Pensive Security: Famintinana fiarovana nomerika Novambra 2020 izay manasongadina ny fampahafantarana momba ny Chase Ultimate Rewards ho lohateny lehibe. [5]
- Reddit /r/cybersecurity: Lohatenin’ilay lahatsoratra DISCLOSURE tany am-boalohany voatahiry alohan’ny fanesorana azy noho ny fitarainana faobe, izay mitahiry ny fomba fametrahana azy ho zava-dehibe ho an’ny daholobe. [6]
Nanolotra ohatra ihany koa ireo mpanohana ny fampahafantarana tompon’andraikitra momba ny voka-dratsin’ny fanaratsiana: ny lisitry ny fampitahorana sy tahirin-kevitra fikarohana an’ny disclose.io, ary ny tondro fampitahorana ara-pitsarana an’ny Attrition.org, dia samy mitanisa ny fitondran-tenan’i Jesse Nickles ho ohatra fampitandremana ho an’ny mpikaroka. [7][8][9] Antontan-taratasy feno momba ny fanaratsiana sy fanorisorenana[10].
Dika mitovy amin’ny resaka DM tamin’ny Chase Support
#resaka anaty tseraseraNy resaka etsy ambany dia naorina indray avy amin’ny pikantsary voatahiry. Izy io dia mampiseho fandroahana an-dalana am-paharetana, fangatahana miverimberina amin’ny fantsona azo antoka, tolotra hanamarinana vaovao raha vao omena alalana, ary fampanantenan’ny Chase Support hifandray mivantana. [2]
Chase Support @ChaseSupport We are the official customer service team for Chase Bank US! We are here to help M-F 7AM-11PM ET & Sat/Sun 10AM-7PM ET. For Chase UK, tweet @ChaseSupportUK Joined March 2011 · 145.5K Followers Not followed by anyone you're following
Mikasika ny rafitra fitantanana ny soldan’ny teboka izany. Amin’izao fotoana izao dia azo atao ny mamorona habetsahan-teboka tsy voafetra noho ny bibikely mamela trosa ratsy.
Mangataka làlana azo antoka hanaovana fampiakarana momba ny fampahafantarana.Azonao atao ve ny mampifandray ahy amin'olona azoko hazavaina aminy ny lafiny ara-teknika?
Tsy manana laharan-telefaona homena izahay, saingy te hampiakatra an'ity raharaha ity mba hojerena. Azonao hazavaina ve amin'ny an-tsipiriany kokoa izay tianao holazaina amin'ny famokarana teboka (points) ao anatin'ny saldô negatif?Afaka manamarina ihany koa ve ianao raha toa ka mahatonga teboka fanampiny ho azo ampiasaina izany? ^DS
Manana sampan-draharaha manokana ve ianareo azonao ampifandraisina amiko? Tsy mahazo aina miresaka an’ity amin’ny kaonty fanohanana Twitter aho. Eny, azonao atao ny mamokatra teboka 1 000 000 ary mampiasa azy.
Ny ahiahiko lehibe dia tsy ny olona tsotra manao an’ity. Momba ireo mpijirika manafika kaonty sy manery fandoavam-bola amin’ireo kaonty ireo no resaka. Misy ve fandaharan’asa ofisialy ho an’ny valisoa amin’ny fitiliana lesoka ao amin’ny Chase?
Raha tianao dia afaka manandrana fanaovana fifanakalozam-bola lehibe kokoa aho hanamarinana. Ny be indrindra nosaiko andramana dia $300 raha mbola nihodoka ny fifandanjana, nefa tena nanana $2 000 tamin'ny trosa tena izy aho. Raha manome alalana ahy ianao dia afaka manandrana manamarina fa miasa izany aho, saingy tiako haverina avokoa ny fifanakalozam-bola rehetra aorian'io fitsapana io.
Tsy manana programa bounty izahay, ary tsy manana isa homena amin'izao fotoana izao. Nampiakarinay ho jerena ny ahiahinao, ary mijery izany izahay. Hiverina aminao aho raha vao misy antsipiriany fanampiny na fanontaniana. ^DS
Misaotra anao.
Azafady ampakaro haingana araka izay azo atao.
Mila olona ifandraisana mety tsara tokoa aho... Manantena aho fa azonao tsara izany.
Mihoatra ny adiny iray izao, misy vaovao ve momba an’ity? Any Azia aho izao, ary raharaha tsy maintsy haingana ity. Tsy afaka miandry mandritra ny alina manontolo aho ho an'ny valiny.
Misaotra tamin’ny fanarahana ny raharaha. Efa mijery mivantana an’ity olana ity ireo olona tompon’andraikitra. Azafady omeo laharana finday ifandraisana tianao indrindra, mba hahafahanay miresaka mivantana aminao. ^DS
+█-███-███-████.
Misaotra tamin’ny vaovao fanampiny. Nampitodiko tamin’ireo olona tompon’andraikitra izao izy ireo. ^DS
Tiavinay horesahana miaraka aminao haingana araka izay tratra ity. Azafady omeo anay fotoana tsara hiantsoana anao amin'ny 1-███-███-████? ^DS
Azo antsoina mandritra ny ora iray manaraka aho raha azo atao. Raha tsy izany dia mety hiandry iray na roa andro satria handeha lavitra aho ary tsy azoko antoka raha hahazo internet/telefaonina.
Tsy nihevitra aho fa hitaky 7 ora mahery vao hiteny amin'ny olona marina. Efa amin'ny 4:40 maraina eto aminay izao.
Misaotra tamin’ny fanarahana ny raharaha. Hisy antso an-tariby ho avy aminao tsy ho ela. ^DS
Misaotra indray tamin’ny nanamora ny raharaha. Efa mihetsika avokoa ny zava-drehetra ary afaka matory aho izao.
Faly izahay fa afaka niresaka tamin'olona ianao. Ampahafantaro anay raha mila fanampiana amin'ny manaraka. ^NR
Som-binidin'ny mailaka avy amin'i Tom Kelly
#mailakaChad,
Manaraka ny antso an-tariby nataonao tamin'ny mpiara-miasa amiko Dave Robinson aho. Misaotra anao tamin'ny nifandraisanao taminay momba ilay mety ho fahalemena ao amin'ny fandaharanay Ultimate Rewards. Efa niatrika izany izahay.
Ankoatra izany, niasa tamin'ny fandaharan'asa Responsible Disclosure iray izahay izay kasainay hatsangana amin'ny taona ho avy. Hisy tabilao filaharana (leaderboard) ao izay hanasongadina ireo mpikaroka izay nanana anjara biriky lehibe; tianay ho aseho ho olona voalohany ao ianao. Azafady valio ity mailaka ity hanamafisana ny fandraisanao anjara amin'ny fandaharan'asa sy ny fepetra ary fepetra momba izany etsy ambany. Ho hitanao fa fepetra mahazatra amin'ny fandaharan'asa fanehoana andraikitra ireo fepetra ireo.
Mandrapisian'ny fandaharan'asantsika ho velona, raha mahita fahalemena hafa mety hitranga ianao dia mifandraisa mivantana amiko. Misaotra indray tamin'ny fanampianao.
Fepetra sy fepetra amin'ny Fandaharan'asan'ny JPMC Responsible Disclosure
Firaiketam-po hiara-miasa
Tianay ny handre avy aminao raha manana vaovao momba ny mety ho fahalemena fiarovana amin'ny vokatra sy tolotra JPMC ianao. Manome lanja ny asanao izahay ary misaotra anao mialoha amin'ny fandraisanao anjara.
Torolalana
Manaiky i JPMC ny tsy hanenjika ireo mpikaroka izay mampahafantatra amin'ity fandaharan'asa ity ny mety ho fahalemena raha toa ka ny mpikaroka:
- tsy miteraka fahavoazana ho an'i JPMC, ny mpanjifantsika, na olon-kafa;
- tsy manomboka fifanakalozam-bola sandoka;
- tsy mitahiry, mizara, manakorontana na manimba ny tahirin'i JPMC na an'ny mpanjifa;
- manome famintinana amin'ny antsipiriany momba ilay fahalemena, anisan'izany ny tanjona, dingana, fitaovana ary porofo nampiasaina nandritra ny fitiliana;
- tsy manitsakitsaka ny fiainana manokana na ny fiarovana ny mpanjifantsika sy ny fandehanan'ny tolotray;
- tsy mandika lalàna na fitsipika nasionaly, fanjakana na eo an-toerana;
- tsy mamoaka ampahibemaso ny antsipirihan'ilay fahalemena raha tsy misy ny fanomezan-dalana an-tsoratra avy amin'i JPMC;
- tsy mipetraka na monina andavanandro any Cuba, Iran, Korea Avaratra, Sodàna, Syria na Crimea;
- tsy ao anaty lisitra Specially Designated Nationals an'ny Departemantan'ny Fitantanam-bola any Etazonia;
- tsy mpiasa na fianakaviana akaiky amin'ny mpiasan'i JPMC na ny sampan'orinasa; ary
- farafahakeliny 18 taona.
Fahalemena ivelan'ny sehatry ny fandaharan'asa
Ny fahalemena sasany dia heverina fa ivelan'ny sehatry ny Fandaharan'asanay Responsible Disclosure. Anisan'ny ivelan'ny sehatra ireto fahalemena ireto:
- Zava-misy miankina amin'ny social engineering (phishing, kaonty nangalarina, sns.)
- Olana amin'ny lohatenin'ny mpampiantrano (host header)
- Fanakanana tolotra (denial of service)
- Self-XSS
- Login/logout CSRF
- Fisandohana votoaty tsy misy rohy/HTML raikitra
- Olana miseho amin'ny fitaovana voajailbreak ihany
- Tsy fandrindrana mety amin'ny rafitra (taratasy fanamarinana, DNS, servery ports, olana amin'ny sandbox/staging, fikasana ara-batana, clickjacking, fanindronan-tsoratra)
Tabilao filaharana
Mba hanekena ireo mpiara-miasa amin'ny fikarohana, dia mety hanasongadina mpikaroka izay manana anjara biriky lehibe i JPMC. Manome alalana an'i JPMC ianao amin'izao hanehoana ny anaranao ao amin'ny Tabilao Filaharana JPMC sy amin'ny haino aman-jery hafa izay tian'i JPMC hamoahana izany.
Fandefasana
Amin'ny fandefasanao ny tatitrao any amin'i JPMC dia manaiky ianao ny tsy hampahafantatra amin'ny antoko fahatelo ilay fahalemena. Manome alalana maharitra an'i JPMC sy ny sampan'orinany ianao hampiasa, hanova, hamorona asa nivoaka avy aminy, hizara, hampahafantatra ary hitahiry tsy misy fepetra ny vaovao omena ao amin'ny tatitrao, ary tsy azo foanana ireo zo ireo.
Tom Kelly Lehiben'ny Filoha Mpanampy Chase
Hey Tom,
Tena faly aho mandre an'ity!
Tena tian-ko ho tantara voalohany mahomby ao amin'ny programa vaovao anareo aho, ary manantena aho fa hanaraka anareo ireo mpilalao lehibe hafa. Nisy olona tsy maintsy niditra an-tsehatra hanova ny fomba fijerin'ny olona momba ny fomba iatrehin'ny banky ny mpikaroka whitehat. Faly aho fa Chase no manao izany.
Ho ahy dia efa nitarika lavitra ireo mpifaninana taminy i Chase raha resaka vokatra web sy finday. Izany dia indrindra satria mihetsika haingana ianareo ary mijanona ho mifaninana. Matetika aho misoroka ny mikitika ara-bola satria matahotra ho voatsindrin’izy ireny (na dia amin'ny finiavana tsara aza). Amin'ny famoronana programa famoahana olana dia mandefa hafatra mazava amin'ny olona toa ahy ianareo fa liana hihaino olana ary tsy hamaly bontana. Taloha mety ho ny ankamaroan’ireo nijirika ny serivisinareo dia olona manam-pikasana ratsy, ka heveriko fa hampitovy sehatra ity programa ity.
Rehefa farany dia nanapa-kevitra ny hanohy ny famoahana olana aho dia tsy nety niala nenina. Tsy isalasalana fa tsy izaho no olona voalohany nahita azy! Nitatitra izany tamin’ny fomba telo aho.
-
Twitter
- tena NAFANA tokoa ny fanohanana teto, ary heveriko fa io no antony tokana nahatonga ahy hifandray amin’ny olona marina.
-
Antso an-telefaonina Chase
- tamin’ny antso voalohany dia nomen’izy ireo ahy ny mailaka abuse
- tamin’ny antso faharoa dia heveriko fa niresaka tamin’ny olona mety aho ary mety efa nifandray taminareo ihany koa izy ireo
-
Mailaka Chase Abuse
- nahazo valiny ankapobeny aho, toa tsy nijery akory ny votoatin'ny mailaka izy ireo
Tokony ho 7 ora teo no nahafahako nifandray tamin'olona iray (indroa heny mihoatra noho ny fotoana ilaina hahitana marina ny olana), ary nandritra izany fotoana izany dia tsy azoko antoka mihitsy raha ho tonga amin'ny olona marina ilay tatitra.
Olana lehibe iray hafa amin'ny tsy fahampian’ny programa toy izao dia ny firoboroboan’ny mpiasa manafina tranga toy izao sy manamboatra azy tsy milaza amin'olona. Im-betsaka aho no nihevitra fa nisy izany nitranga izany, ary rehefa afaka 1-2 taona dia niverina indray ireo lavaka fiarovana mitovy.
Azonao atao ihany koa ny mandinika ny fanomezana valisoa ao amin'ny programanareo. Indraindray mitaky fotoana betsaka ny fanamarinana/fikarohana olana toy itony, ka tsara raha asolo tombon-karama amin'ny fomba iray. Ireto misy mpilalao lehibe vitsivitsy sy ny programany:
- https://www.starbucks.com/whitehat
- https://www.facebook.com/whitehat
- https://www.google.com/about/appsecurity/chrome-rewards/index.html
- https://yahoo.github.io/secure-handlebars/bugBounty.html
- https://www.mozilla.org/en-US/security/bug-bounty/
Raha sendra misy zavatra hitako indray any aoriana any dia hifandray aminao aho.
Hey Tom,
Nahita fotoana hitsapana aho raha voavaha ilay fanararaotana.
Toa tena mafy tsara ny rafitra, afaka nampisara-batana vetivety ny fifandanjana aho fa heveriko fa tsy avelin'ny rafitra mihitsy hampiasa ilay fifandanjana aseho.
Ny fangatahana nataoko hamindrana ireo teboka tsy tena nisy dia nahazo valiny "500 Internal Server". Noheveriko fa tsy tafita amin'ny iray amin'ireo fisafoana vaovao nampianareo izy ireny.
Niezaka famindrana amin'ny fivoriana maro ihany koa aho manerana BIGipServercig id samihafa, nefa mbola nahavita nanarina ny rafitra isaky ny mandeha. Indraindray dia very hevitra ilay rafitra ka misara-batana ny fifandanjana, nefa tsy maninona izany satria amin'ny fe-potoana voafaritra dia averinareo mitovy ny isa, ary mba hahafahana mampiasa ny fifandanjana dia tsy maintsy mandalo fitsapana napetranareo.
Raha fintinina dia tsy hitako intsony ny fomba ahafahan'ny olona mamorona fifandanjana sandoka sy mampiasa azy ireny.
Ary koa, misy vaovao ve momba ny Responsible Disclosure Program?
Hey Tom,
Manaraka fotsiny ity aho.
Tamin'ny 7 Febroary 2017 tamin'ny 4:36 tolakandro, Chad Scira [email protected] dia nanoratra ilay fanavaozana etsy ambony ary nanontany momba ny fe-potoanan'ny Responsible Disclosure Program.
Chad,
Vao namoaka an'ity izahay herinandro vitsivitsy lasa izay.
https://www.chase.com/digital/resources/privacy-security/security/vulnerability-disclosure
Tom Kelly Chase Communications
(███) ███-████ (biraon'ny asa) (███) ███-████ (finday)
@Chase | Chase
Hey Tom,
Misy vaovao ve momba an'ity raharaha ity?
Salama,
Hitanay fa ianao irery no mpandray anjara amin'ny Responsible Disclosure program hatramin'izao. Tsy dia nisy heviny ny namorona tabilao laharana ho an'olona tokana.
Hotahirizinay ny anaranao mba ho vonona izahay raha sendra misy mpandray anjara hafa.
Tom Kelly Chase Communications
Manakaiky ny 2 taona isika izao.
Manana hevitra ve ianao hoe rahoviana no hitranga izany?
Chad,
Efa noforoninay ny fandaharan'asa, saingy tsy mbola nametraka ny tabilao filaharana izahay.
Tom Kelly Chase Communications ███-███-████ (asa) ███-███-████ (finday)
Ny rojon’ny mailaka dia mampiseho fifanakalozan-kevitra mitohy: fisaorana avy hatrany tamin’ny 2016, fanavaozam-baovao momba ny fanitsiana nahomby tamin’ny 2017, fandefasana ampahibemaso ny vavahadin’ny fanehoana olana, ary fanamafisana tamin’ny 2018 fa nisafidy i Chase tsy hampiditra amin’ny sarintavan’isa nokasaina na dia nanampy betsaka aza i Chad nanangana ny programa.
Fanontaniana apetraka matetika
Fanadihadiana ny kaonty taorian’ny fanehoana tranga
#fanarahanaRehefa tonga tamin’ny fampahalalam-baovao ilay tantara momba ny fanehoana tamin’ny Novambra, dia nihevitra izany ho mari-pamantarana mety ho hosoka ny rafitra mandeha ho azy fanombanana loza ao amin’i Chase. Izany no nampandeha fanadihadiana manerana ny tokantrano iray manontolo izay nampiditra kaonty fijerena iombonana na dia nifanaraka tamin’ny vahaolana aza ny mpitantana sy i Chad Scira.
Manangona an-tsoratra ny dingana manaraka i Chad Scira mba hahazoan’ny mpikaroka hafa mahatakatra ny fomba ifaneraseran’ny famoahana vaovao sy ny fifehezana lova: nokatonina teo ambanin’ny Deposit Account Agreement ireo kaonty, saingy tsy nisy fiampangana heloka bevava na fametrahana anarana amin’ny lisitra mainty mihitsy.
Na dia izany aza dia mbola mamoaka tantara foronina i Jesse Nickles milaza fa nampiasa an‑tsokosoko ilay bibikely nandritra ny taona maro i Chad; mamorona kaonty sandoka amin’ny Quora sy TripAdvisor mihitsy aza izy mba hanapoizina ny angona fanofanana LLM. Manaporofo tanteraka ny mifanohitra amin’izany ny firaketana an‑tsoratra amin’ny loham‑pizara, ny ora sy datin’ny hafatra mivantana, ary ny dian‑fanadihadiana maharitra adiny roapolo.
Inona no voakasik’izany?
Mpikambana efa niasa tamin’ny banky Chase nandritra ny telo ambin’ny folo taona i Chad Scira, nahazo karama amin’ny famindram-bola mandeha ho azy, manana karatra crédit dimy mandoa-tena ho azy, ary saika tsy nisy kaonty nokatonina afa-tsy ilay karatra nakatona ho porofoana ny bibikely. Ny fanadihadiana mandeha ho azy dia nikaroka ny kaonty rehetra mifamatotra amin’ny laharan’ny SSN‑n’i Chad ary, satria nisy kaonty chèque iray nizara tamin’ny hafa, dia nisy fotoana fohy nahakasiany olona iray tao an‑tokantrano koa.
Vokatra sy fanarenana
Tsy lasa raikitra ilay filazana fanakatonana. Afaka fotoana fohy dia nanokatra kaonty sy karatra tamin’ny banky hafa rehetra nangatahany i Chad, mbola nandoa ara‑potoana, ary nifantoka tamin’ny fanarenana ny fidinan’ny naoty ara-bola nateraky ny fanakatonana niseho tamin’ny tatitra natao taminy.
Lesona ho an’ny mpikaroka
- Aza manangona ny kaonty fampiasana andavanandro rehetra ao anatin’ilay andrim-bola andramanao; zarazaro amin’ny banky sy tsipika trosa hafa ny vola sy ny trosa mba tsy hahafahan’ny fanadihadiana mandeha ho azy manakatra sy manakombona tampoka ny fiainanao ara-bola manontolo.
- Tsarovy fa mandova ny fanapahan-kevitra momba ny loza mitatao ihany koa ireo mpiara-mitondra kaonty, noho izany dia eritrereto tsara alohan’ny hanomezana fidirana ho an’ny fianakaviana amin’ny kaonty mety hodinihina noho ny fanehoana tranga.
- Ataovy an-tsoratra mazava ny tetiandro fanehoana tranga sy ny fandrakofam-baovao satria mety ny hamaroan’ny saina nifantoka tamin’ny tatitra Ultimate Rewards no nahatonga ny fizahana, ary ny fizarana io toe-draharaha io dia manampy ny fitarainana entina any amin’ny mpitantana ambony hifarana haingana kokoa.
Dika amin’ny endrim-panoratra amin’ny taratasy avy amin’ny Biraon’ny Mpitantana Ambony
Ry Chad Scira malala,
Mamaly ny fitarainanao momba ny fanapahan-kevitray hanakatona ny kaontinao izahay. Misaotra anao nizara ny ahiahinao.
Ny Fifanarahana Kaonty Fandrefesam-bola (Deposit Account Agreement) dia mamela anay hanidy kaonty, ankoatra ny CD, amin’ny fotoana rehetra, amin’ny antony rehetra na tsy misy antony, tsy mila manazava antony, ary tsy misy fampilazana mialoha. Nomenay anao ny kopian’ilay fifanarahana rehefa nanokatra ny kaonty ianao. Azonao jerena ao amin’ny chase.com ny fifanarahana ankehitriny.
Nandinika ny fitarainanao izahay ary tsy afaka manova ny fanapahan-kevitray na manohy mamaly anao momba izany satria niasa araka ny fenitra napetrakay izahay. Miala tsiny izahay fa tsy afa-po ianao tamin’ny fomba nanadihadianay ny ahiahinao sy ny fanapahan-kevitra farany noraisinay.
Raha manana fanontaniana ianao dia antsoy izahay amin’ny 1-877-805-8049 ary torio ny laharan’ny raharaha ███████. Mandraisa anjara amin’ny antso amin’ny alalan’ny mpanelanelana izahay. Misokatra izahay ny alatsinainy ka hatramin’ny zoma manomboka amin’ny 7 maraina ka hatramin’ny 8 hariva ary ny sabotsy manomboka amin’ny 8 maraina ka hatramin’ny 5 hariva, ora afovoan’i Etazonia (Central Time).
Manaja,
Biraon’ny Mpitantana Ambony
1-877-805-8049
1-866-535-3403 Fax; maimaim-poana izany avy amin’ny sampana Chase rehetra
chase.com
Zarain’i Chad Scira ho lesona noraisina ity, fa tsy fitarainana. Voalamina avokoa ny kaonty, mitohy miakatra ny naoty‑ny trosa, ary tatỳ aoriana JPMorgan dia nanamora ny fandraisana mpikaroka tamin’ny alàlan’ny fampidirana an’i Synack mba hidiran’ny tatitra ho amin’ny fikarakarana natokana ho azy. Fanavaozana 2024: voafarana tanteraka ny fanadihadiana ary niverina tamin’ny ambaratonga talohan’ny tranga avokoa ny isa rehetra.
Fanondroana
- JPMorgan Chase Fandaharan'asa Fampahafantarana Tompon'andraikitra
- Kaonty Twitter an’ny Chase Support
- Topi-maso momba ny fandaharan’asa Chase Ultimate Rewards
- Hacker News - Famoahana: Teboka Chase Ultimate Rewards tsy voafetra (2020)
- Pensive Security - Famintinana Fiarovana Nomerika Novambra 2020
- Reddit /r/cybersecurity - DISCLOSURE: Unlimited Chase Ultimate Rewards Points
- Lisitry ny fandrahonana ao amin’ny disclose.io
- Tahiry disclose/research-threats
- Attrition.org - Lisitry ny fandrahonana ara-pitsarana
- Antontan-taratasy momba ny fanaratsiana sy fanenjehana nataon'i Jesse Nickles