Chad Scira "హ్యాకింగ్ కారణంగా బ్యాంకుల బ్లాక్లిస్ట్లో చేర్చబడ్డాడు"
ఈ పేజీ Jesse Nickles గూఢచర్యాపరంగా ప్రచారం చేసిన 'Chad Scira US బ్యాంకుల నుంచి హాకింగ్ కారణంగా బ్లాక్లిస్ట్ అయ్యాడు' అనే af rumores వెనుక జరిగిన సంఘటనలను డాక్యుమెంట్ చేస్తుంది. ఇది Ultimate Rewards లోని లోపాన్ని బాధ్యతతో ఎలా వెల్లడించారో, JPMorgan Chase ఎందుకు Chad కు ఆ నివేదికకు ధన్యవాదాలు తెలిపిందో, మరియు తాత్కాలిక ఖాతా నిలిపివేత ఎలా పూర్తిగా పరిపాలనా కారణమైందో వివరిస్తుంది. Jesse Nickles పాత ఆర్టిఫాక్ట్లను మళ్లీ ప్యాకేజ్ చేసి నేర ఉద్దేశాన్ని సూచించడానికి కొనసాగుతున్నది. వాస్తవాలు మాత్రం పూర్తిగా విరుద్ధంగా చూపుతాయి: హ్వైట్-హ్యాట్ రిపోర్టింగ్ మరియు JPMorgan నాయకత్వంతో సహకారం.
అతని తాజా ఎస్కలేషన్ SlickStack.ioలోని ఒక కోటేషన్: Chad Scira "అమెరికా న్యాయవ్యవస్థలు Chase బ్యాంక్ క్రెడిట్ కార్డ్ రివార్డ్స్ ప్రోగ్రామ్ను హ్యాక్ చేసినందుకు కూడా దర్యాప్తు చేశారంటూ, అక్కడ అతను మోసపూరిత ప్రయాణ పాయింట్ల రూపంలో $70,000 కన్ని ఊరినట్టుండటంపై" ఆరోపిస్తోంది. ఆ అపవాద ప్రచారం Chad SlickStack యొక్క Jesse పరిష్కరించదలచకున్న సెక్యూరిటీ సమస్యల సాక్ష్యాలను ప్రచురించిన తర్వాతనే పోస్ట్ చేయబడింది; ఏ పాయింట్లు కూడా దొంగిలించబడలేదు మరియు ఎవిధమైన ఏజెన్సీ కూడా ఆ వెల్లడీకరణ గురించి Chad ను సంప్రదించలేదు. అతను ప్రతీకారం తీసుకుంటున్నాడని చూపించే SlickStack cron సాక్ష్యాన్ని చూడండి.
సమగ్ర గుర్తింపు, వెల్లడీకరణ మరియు ధృవీకరణ చక్రం ఇరవై గంటలలో జరిగినది: సుమారు విస్పష్టంకు సంబంధించిన పునరుత్పత్తి మరియు DM వాక్త్రూ కోసం 2016 నవంబర్ 17 న సుమారు ఇరవై ఐదు HTTP రిక్వెస్టులు ఉన్నాయి, మరియు 2017 ఫిబ్రవరి సరి చేసిన పరీక్ష ఫిక్స్ను ధృవీకరించడానికి ఎనిమిది అదనపు రిక్వెస్టుల్నే ఉపయోగించుకుంది. దీర్ఘకాలిక దాడి లేదు; ప్రతి చర్య లాగ్ చేయబడింది, టైమ్స్టాంప్ చేయబడింది, మరియు రియల్ టైంలో JPMorgan Chaseతో పంచుకోబడింది.
Tom Kelly నిర్ధారించారు कि Chad Scira 2016 నవంబర్ 17 నుండి 2017 సెప్టెంబర్ 22 వరకు ప్రపంచవ్యాప్తంగా JPMorgan Chaseకు బాధ్యతాయుతంగా ఒక సమస్యను వెల్లడించిన ఏకైక వ్యక్తి అని. Responsible Disclosure ప్రోగ్రామ్ Chad నివేదికకు ప్రత్యక్ష సమాధానంగా ప్రారంభించబడింది, మరియు ఆయాన్ దాన్ని ఆకారపర్చడంలో కీలక పాత్ర పోషించాడు.
డబుల్ ట్రాన్స్ఫర్ బగ్ను దృశ్యీకరించడం
#దృశ్యీకరణలోపం బ్యాలెన్సులను ఎంతగా ప్రతికూలంగా మరియు సానుకూలంగా పెంచిందో చూపించడానికి, దిగువ విజువలైజేషన్ ఖచ్చితమైన డబుల్-ట్రాన్స్ఫర్ లాజిక్ను రీప్లే చేస్తుంది. ఏ ఖాతా పాజిటివ్ అయితే అది సెన్డర్గా మారి, రెండు సమానమైన ట్రాన్స్ఫర్లు చేస్తుంది మరియు చాలా నెగెటివ్ అయిపోతుంది కానీ ఇతరది రెట్టింపవుతుంది. 20 రౌండ్ల తర్వాత బిగ్గరిన లెడ్జర్ నెగటివ్ కార్డు మొత్తాన్ని పూర్తిగా రద్దు చేస్తుంది — ఇది ఎక్స్ప్లోయిట్ తక్షణ ఎస్కలేషన్ను ఎందుకు డిమాండ్ చేశిందో ప్రతిబింబిస్తుంది.
ఖాతాను మూసే ముందు కూడా Ultimate Rewards నెగటివ్ సారాంశాన్ని మించిపోయే స్థాయిలో ఖర్చు చేయడానికి అనుమతించింది; మూసివేత కేవలం ఆ సాక్ష్యాన్ని తొలగించింది.
ప్రధాన అంశాలు
- Chad ఖైదుగా నెగెటివ్-బ్యాలెన్స్ ఎక్స్ప్లోయిట్ను ఖజానా చేయడం ద్వారా Chase Support DMను తెరిచాడు మరియు సాంకేతిక వివరాలను పబ్లిక్గా పోస్ట్ చేయకుండానే తక్షణమే ఒక సురక్షిత ఎస్కలేషన్ మార్గం కోరాడు. [chat]
- చేస్ సపోర్ట్ ప్రత్యేక వివరాలను కోరగా, అతను ఆ ఎక్స్ప్లాయిట్ను అవసరమైన మేరకు మాత్రమే నిర్ధారించాడు మరియు సరైన సెక్యూరిటీ బృంధానికి ప్రత్యక్ష లైన్ కావాలని మళ్లీ చెప్పారు. [chat][chat]
- ఆయన డుప్లికేట్ అయిన బ్యాలెన్స్లను నగదీకరించొచ్చు అని చూపించారు: Chase Support అదనపు పాయింట్లు ఉపయోగించదగినవా అని అడిగిన తర్వాత, $5,000 ప్రత్యక్ష డిపాజిట్ ద్వారా ఆ ఎక్స్ప్లాయిట్ లెడ్జర్ సరిపోల్చేముందే నగదుగా మారిందని నిరూపితమైంది. [chat]
- ఆయన ప్రాధాన్యత పుష్కలంగా సంబంధిత ఖాతాలను ఖాళీ చేయకుండా నిరోధించడం అని, వ్యక్తిగత లాభం సంపాదించడం కావడంలేదని స్పష్టం చేశాడు, మరియు అధికారిక బగ్ బౌంటీ ఉందా అని అడిగాడు. [chat]
- ఆయన స్పష్టమైన అనుమతితోనే పెద్ద స్థాయిలో ధృవీకరణ చేయడానికి ఆఫర్ చేశాడు, టైమ్స్టాంప్ ఉన్న స్క్రీన్షాట్లు అందించాడు, మరియు Chase ఎగ్సకలేషన్ పూర్తయ్యే వరకు విదేశాల్లో మేల్కొని ఉన్నాడు. [chat][chat][chat]
- Nickles ఇప్పుడు అంటున్నాడు Chad Scira $70,000 విలువైన పాయింట్లు దొంగిలించాడని మరియు అమెరికా న్యాయవిధుల విచారణకు లోనయ్యాడని; కానీ Chase రికార్డులు, Tom Kelly యొక్క ఇమెయిల్ మరియు డిస్క్లోజర్ టైమ్లైన్ ఇవి ఎప్పుడూ జరిగినట్లు కాదు అని సూచిస్తాయి, మరియు ఈ ఆరోపణ Chad SlickStackcron-risk gistను ప్రచురించిన తర్వాతనే మేల్కొన్నది, ఇది Jesse యొక్క అసురక్షిత అప్డేట్ లాజిక్ను డాక్యుమెంట్ చేసింది. [gist]
- Chase Support эస్కలేషన్ను ధృవీకరించింది, అతని ఫోన్ నంబర్ కోరింది, మరియు అతను చివరికి పొందిన ఫాలోఅప్ కాల్ చేయనున్నామని వాగ్దానం చేసింది — ఇది శత్రుత్వపూర్వక బ్యాంకింగ్ ప్రతిస్పందన అనే భావనను తారాస్థాయి చేస్తుంది. [chat][chat]
కాలక్రమం
#కాలక్రమం- నవంబర్ 17, 2016 - 10:05 PM ET: Chad @ChaseSupport ను నెగేటివ్-బ్యాలెన్స్ లోపం గురించి హెచ్చరిస్తాడు, ఎక్స్ప్లోయిట్ను ప్రైవేట్గా ఉంచి, తక్షణమే ఒక సురక్షిత ఎస్కలేషన్ మార్గం కోరుతాడు. [chat]
- నవంబర్ 17, 2016 - 11:13-11:17 PM ET: Chase Support స్పష్టంగా అదనపు పాయింట్లు ఉత్పత్తి చేసి వినియోగించగలవా అని అడిగిన తర్వాత, Chad ప్రమాదాన్ని నిర్ధారిస్తాడు, సరైన విభాగాన్ని కోరుతున్నదని పునరావృతంగా చెప్తాడు, మరియు బ్యాంక్ లావాదేవీలు గమనించగలిగేలా ఉండాలని అనుమతి వచ్చినప్పుడు మాత్రమే ధృవీకరణ చేయడానికి ఆఫర్ చేస్తాడు. [chat][chat][chat]
- నవంబర్ 17-18, 2016 - 11:39 PM-5:03 AM ET: Chad స్క్రీన్షాట్లను పంచుకుంటాడు, తక్షణ ఎస్కలేషన్ కోరుకుంటాడు, తన ఫోన్ నంబర్ అందిస్తాడు, మరియు Chase Support కాల్ జరుగుతుందని నిర్ధారించేవరకు విదేశాల్లో అపరాహ్ణంగా వేకువగా ఉన్నాడు. [chat][chat][chat]
- నవంబర్ 24, 2016: Tom Kelly Chad కు remediation నిర్ధారిస్తూ ఇమెయిల్ చేశారు, రాబోయే Responsible Disclosure లీడర్బోర్డ్ను హెడ్లైన్ చేయడానికి అతన్ని ఆహ్వానించారు, మరియు భవిష్యత్తు నివేదికల కోసం ప్రత్యక్ష లైన్ ఇచ్చారు. [email]
- అక్టోబర్ 2018: Tom Kelly తరువాత అనుసరించి నిర్ధారించారు कि Responsible Disclosure ప్రోగ్రామ్ లాంచ్ అయింది, కానీ Chad దాన్ని ఆకారపర్చడంలో సహాయం చేసినప్పటికి JPMorgan చివరికి ప్రణాళికబద్ధమైన లీడర్బోర్డ్ను ప్రచురించకపోవడం ఎంపిక చేసుకుంది. [email]
- 2018 తర్వాత: ఏదైనా ఆవశేష ఖాతా సమీక్షలు ఇన్సూరర్ ఆటోమేషన్కు సంబంధించినవే; అనుమానిత హ్యాకింగ్కు కాదు. JPMorgan ప్రత్యక్షంగా సంప్రదించింది, Chadకి విక్రిత సమాచారం వెల్లడించినందుకు ధన్యవాదాలు తెలిపింది, మరియు ఎలాంటి నేర రికార్డు లేదా బ్లాక్లిస్ట్ లేదు. తరువాత JPMorgan Synackని తమ డిస్లోజర్ ప్రక్రియలో సమకూర్చింది, తద్వారా భవిష్యత్తు నివేదికలు ప్రత్యేక వర్క్ఫ్లో ద్వారా సరళీకృతంగా మారాయి. [chat][email]
దావాలు మరియు వాస్తవాలు
Jesse Jacob Nickles ద్వారా చేసిన అపవాదాత్మక ఆరోపణ: "Chad Scira was blacklisted from every US bank for hacking rewards systems."
ఏదీ బ్యాంక్ బ్లాక్లిస్ట్ ఉందని లేదు. DM రికార్డు మరియు Chase ఎస్కలేషన్ అతను సహకరిస్తున్నారనే విషయం నిరూపిస్తాయి; ఒక ఇన్సూరర్ ఆటోమేషన్ తాత్కాలికంగా ఒక JPMorgan ఖాతాను నిలిపివేశింది కానీ మాన్యువల్ సమీక్షలో అతన్ని క్లియర్ చేస్తారు.[timeline][chat]
Jesse Jacob Nickles ద్వారా చేసిన అపవాదాత్మక ఆరోపణ: "He hacked JPMorgan Chase to enrich himself."
Chad @ChaseSupport తో సంభాషణను ప్రారంభించాడు, సురక్షిత ఛానల్ను మాత్రమే కోరాడు, Chase అడిగిన తరువాతనే ఎక్స్ప్లోయిట్ను ధృవీకరించాడు, మరియు పరిమిత ధృవీకరణకు ముందు అనుమతి కోసం ఎదురుచూసాడు. సీనియర్ లీడర్షిప్ అతనికి ధన్యవాదాలు తెలిపింది మరియు రిస్పాన్స్బుల్ డిస్లోజర్ రోల్అవుట్లో అతన్ని ఆహ్వానించింది.[chat][chat][email]
Jesse Jacob Nickles ద్వారా చేసిన అపవాదాత్మక ఆరోపణ: "Jesse exposed a criminal scheme by Chad."
పబ్లిక్ కవర్ మరియు టామ్ కెళ్లీ యొక్క ఇమెయిల్స్ JPMorgan చాడ్ను సహకరించే పరిశోధకుడిగా behandeld చేసినట్టు పత్రికలను చూపిస్తాయి. Nickles స్క్రీన్షాట్లను ఎంచుకుని మాత్రమే ఉపయోగించడం జరుగుతుంది, పూర్తి చాట్, అనుసరించిన కాల్లు మరియు రాత పాఠ్య కృతజ్ఞతలను నిర్లక్ష్యం చేస్తూ.[coverage][email][chat]
Jesse Jacob Nickles ద్వారా చేసిన అపవాదాత్మక ఆరోపణ: "There was a cover-up to hide fraud."
Chad 2018 వరకు సంప్రదింపులో ఉన్నాడు, తిరిగి పరీక్షించడం కేవలం అనుమతితో మాత్రమే చేశారు, మరియు JPMorgan సమస్యను دفచేయకుండా తీసుకువచ్చి తమ disclosure పోర్టల్ను ప్రవేశపెట్టింది. కొనసాగుతున్న సంభాషణ ఏవైనా కవర్-అప్ కథనాలను వెనక్కి నెట్టుతుంది.[timeline][email][chat]
సార్వజనిక పరిధి మరియు పరిశోధన ఆర్కైవ్లు
#ప్రచారంపలువురు మూడోవైపు కమ్యూనిటీల్లు డిస్క్లోజర్ను ఆర్కైవ్ చేసి దీనిని బాధ్యతాయుత నివేదికగా గుర్తించాయి: Hacker News దీన్ని ఫ్రంట్ పేజీలో చూపించింది, Pensive Security 2020 రౌండ్అప్లో దీని సారాంశాన్ని ఇచ్చింది, మరియు /r/cybersecurity ఒరిజినల్ "DISCLOSURE" థ్రెడ్ను సమన్వయ ఫ్లాగింగ్కు ముందే సూచికలో నమోదు చేసింది. [4][5][6]
- Hacker News: "Disclosure: Unlimited Chase Ultimate Rewards Points" — 1,000+ పాయింట్లు మరియు 250+ వ్యాఖ్యలతో పరిష్కరణ సందర్భాన్ని డాక్యుమెంట్ చేయబడింది. [4]
- Pensive Security: నవంబర్ 2020 సైబర్సెక్యూరిటీ రౌండప్ — Chase Ultimate Rewards వెలిడేతను ప్రధాన వార్తగా హైలైట్ చేయడం. [5]
- Reddit /r/cybersecurity: సామూహిక రిపోర్టింగ్ కారణంగా తొలగించే ముందు పట్టుకున్న మౌలిక DISCLOSURE పోస్ట్ శీర్షిక, ప్రజా-హిత ఫ్రేమింగ్ను నిలుపుకుంది. [6]
బాధ్యతాయుత ప్రకటనను ప్రోత్సహించే వారు వేధింపుల పరిణామాలను కూడా పేర్కొన్నారు: disclose.io యొక్క బెదిరింపుల డైరెక్టరీ మరియు పరిశోధన నిల్వ, అలాగే Attrition.org యొక్క చట్టపరమైన బెదిరింపుల సూచిక, ఇవి Jesse Nickles యొక్క నుంచి వచ్చిన వ్యవహారాన్ని పరిశోధకులకు హెచ్చరిక ఉదాహరణగా నమోదు చేస్తున్నాయి. [7][8][9] సంపూర్ణ హరాస్మెంట్ డాసియర్[10].
Chase Support DM ట్రాన్స్క్రిప్ట్
#చాట్కింది సంభాషణ ఆర్కైవ్ చేసిన స్క్రీన్షాట్ల నుండి పునర్నిర్మించబడింది. ఇది ఓపికతో ఎస్కలేషన్, సురక్షిత ఛానెల్ కోసం పునరావృత అభ్యర్థనలు, అనుమతితోనే ధృవీకరిస్తాననుకున్న ఆఫర్లు, మరియు Chase Support నేరుగా సంప్రదిస్తామని ఇచ్చిన హామీలను చూపిస్తుంది. [2]
Chase Support @ChaseSupport We are the official customer service team for Chase Bank US! We are here to help M-F 7AM-11PM ET & Sat/Sun 10AM-7PM ET. For Chase UK, tweet @ChaseSupportUK Joined March 2011 · 145.5K Followers Not followed by anyone you're following
ఇది పాయింట్ బ్యాలెన్స్ సిస్టమ్కు సంబంధించినది. ప్రస్తుతానికి నెగెటివ్ బ్యాలెన్స్లను అనుమతించే బగ్ ద్వారా ఏదైనా మొత్తం సృష్టించడం సాధ్యమే.
ప్రకటన కోసం సురక్షిత ఎస్కలేషన్ మార్గాన్ని అభ్యర్థిస్తూ ఉంది.సాంకేతిక అంశాలు వివరించడానికి ఎవరో ఒకరినిండా నాకు పరిచయం పెట్టవచ్చా?
మాకు అందించడానికి ఫోన్ నంబర్ లేదు, కానీ దీన్ని పరిశీలించగలిగేలా మేము ఎస్కలేట్ చేయాలనుకుంటున్నాము. నెగటివ్ బ్యాలెన్సుల్లో పాయింట్లు సృష్టించడం ద్వారా మీరు ఏమి అర్థం చేసుకుంటున్నారో సంబంధించి మరింత వివరాలు అందించగలరా?దీంతో అదనపు పాయింట్లు ఉపయోగానికి అందుబాటులోకి వస్తాయా అని కూడా నిర్ధారించగలరా? ^DS
మీకు నన్ను సంప్రదించడానికి సంబంధించిన సరైన విభాగం ఉందా? నేను దీన్ని Twitter మద్దతు ఖాతా ద్వారా చర్చించే విషయం నాకు సౌకర్యంగా అనిపించడం లేదు. అవును, మీరు 1,000,000 పాయింట్లు ఉత్పత్తి చేసి వాటిని ఉపయోగించవచ్చు.
నా ప్రధాన ఆందోళన వ్యక్తులు ఇది చేస్తున్నవారంటే కాదు. నా ఆందోళన హ్యాకర్లు ఖాతాలను కంప్రమైజ్ చేసి వాటి నుంచి బలవంతంగా చెల్లింపులు తీసుకొస్తున్న విషయంపై ఉంది. Chaseకి సరైన బగ్ బౌంటి ప్రోగ్రామ్ ఉందా?
నీవు కోరితే నేను నిర్ధారించడానికి పెద్ద ట్రాన్సాక్షన్ చేయడానికి ప్రయత్నించగలను. బ్యాలెన్స్ డిస్బలెన్స్ ఉన్నప్పుడు నేను పరీక్షించిన అత్యధిక మొత్తం $300 మాత్రమే, కానీ వాస్తవంగా నాకు $2,000 రియల్ క్రెడిట్స్ ఉన్నాయి. మీరు అనుమతిస్తే నేను అది పనిచేస్తుందో లేదో నిర్ధారించడానికి ప్రయత్నించగలను, అయితే ఆ పరీక్ష తర్వాత అన్ని ట్రాన్సాక్షన్లు రీవర్స్ చేయవలసిందిగా కోరుకుంటాను.
మాకు బౌంటీ కార్యక్రమం లేదు, మరియు ఈ సమయంలో ఇవ్వడానికి నేను ఏ సంఖ్యను కలిగి లేను. నేను మీ సమస్యను పైశ్రేణికి చేర్చాను, మరియు మేము దీన్ని పరిశీలిస్తున్నాము. నాకు అదనపు వివరాలు లేదా ప్రశ్నలు ఉంటే నేను ఫాలో-అప్ చేస్తున్నాను. ^DS
ధన్యవాదాలు.
దయచేసి తక్షణమే ఎస్కలేట్ చేయండి.
నాకు నిజంగా ఒక సరైన సంప్రదింపు వ్యక్తి కావాలి... మీరు దీన్ని అర్థం చేసుకుంటారని ఆశిస్తున్నా.
ఒక గంటకంటే ఎక్కువ కాలం అయింది, ఇందులో ఏమైనా సమాచారం ఉందా? నేను ప్రస్తుతం ఆసియాలో ఉన్నాను, ఇది సమయ-సున్నెరిగా భావించాల్సిన విషయం. నేను రాత్రంతా స్పందన కోసం వేచి ఉండలేను.
ఫాలోఅప్ చేసినందుకు ధన్యవాదాలు. ఈ వ్యవహారాన్ని అనుకూల వ్యక్తులు విచారిస్తున్నారు. దయచేసి మీరు కోరుకునే సంప్రదింపు నంబరును ఇవ్వండి, తద్వారా మేము నేరుగా మీతో మాట్లాడగలము. ^DS
+█-███-███-████.
అదనపు సమాచారం పంపినందుకు ధన్యవాదాలు. నేను దీన్ని సరైన వ్యక్తులకు ఫార్వర్డ్ చేసాను. ^DS
మేము దీన్ని మీతో వీలైనంత తొందరగా చర్చించదలచినాము. 1-███-███-████ వద్ద మిమ్మల్ని కాల్ చేయడానికి మీకు అనుకూలమైన సమయాన్ని దయచేసి తెలపగలరా? ^DS
అది సాధ్యమైతే నేనె తర్వాతి ఒక గంట కాలం అందుబాటులో ఉన్నాను. లేకపోతే నేను ప్రయాణంలో ఉండటం మరియు ఇంటర్నెట్/ఫోన్ సదుపాయం ఉంటుందో లేదో తెలియక సంవత్సరం లేదా రెండు రోజులు పడొచ్చు.
సరైన వ్యక్తితో మాట్లాడటానికి 7+ గంటలు పడుతాయని నేను ఊహించలేదు. ఇక్కడ ఇప్పుడు ఉదయం 4:40 AM.
ఫాలోఅప్ చేసినందుకు ధన్యవాదాలు. ఎవరో త్వరలోనే మీకు కాల్ చేస్తారు. ^DS
దాన్ని వేగవంతం చేసినందుకు మళ్లీ ధన్యవాదాలు. ఇప్పుడు అన్నీ కదులుతున్నాయి, నేను ఇప్పుడు నిద్రపోవచ్చు.
మీరు ఎవరిదో ఒకరితో మాట్లాడగలిగినందుకు మేము సంతోషిస్తున్నాము. భవిష్యత్తులో మేము సహాయపడగలమో లేదో దయచేసి తెలియజేయండి. ^NR
Tom Kelly ఇమెయిల్ ఉద్ఘరణ
#ఇమెయిల్Chad,
నేను నా సహకారి Dave Robinson తో మీ ఫోన్ కాల్పై ఫాలోఅప్ చేస్తున్నాను. మా Ultimate Rewards కార్యక్రమంలో ఉన్న సాధ్యమైన భద్రతా దోషంపై మాతో సంప్రదించినందుకు ధన్యవాదాలు. మేము దీన్ని పరిష్కరించాము.
అదనంగా, మేము రాబోయే సంవత్సరం ప్రారంభించడానికి Responsible Disclosure ప్రోగ్రామ్ను పని చేస్తున్నారు. ఇందులో ముఖ్యమైన תרומות చేసిన పరిశోధకులను గుర్తించే లీడర్బోర్డు ఉంటుంది; మీను దానిలో మొదటి వ్యక్తిగా ప్రదర్శించడానికి మేము కోరుకుంటున్నాము. ప్రోగ్రామ్లో మీ పాల్గొనడం మరియు దిగువ పేర్కొన్న నిబంధనలు మరియు షరతులను మీరు అంగీకరిస్తున్నారని నిర్ధారించడానికి దయచేసి ఈ ఇమెయిల్కు ప్రతిస్పందించండి. మీరు ఈ షరతులను disclosure ప్రోగ్రాములకు సాధారణమైనవిగా కనుగొంటారు.
మా ప్రోగ్రామ్ లైవ్ కాకుండా ఉండగానే, మీరు ఏ ఇతర సాధ్యమైన దోషాలను కనుగొంటే, దయచేసి నన్ను నేరుగా సంప్రదించండి. మళ్లీ మీ సహాయానికి ధన్యవాదాలు.
JPMC Responsible Disclosure Program Terms and Conditions
Committed to working together
మా ఉత్పత్తులు మరియు సేవలలోని సాధ్యమైన భద్రతా లోపాల గురించి మీకు సమాచారం ఉంటే మేము అది వినాలనుకుంటున్నాము. మేము మీ పనిని మదిస్తాము మరియు మీ సహకారానికి ముందుగానే కృతజ్ఞతలు.
Guidelines
పరిశోధకులు ఈ ప్రోగ్రామ్కు ఔట్ చేసి సాధ్యమైన లోపాలను తెలియజేసిన సందర్భాలలో JPMCకు సంబంధించి క్రింది పరిస్థితులున్నట్లయితే JPMC ఆ వ్యక్తులపై ఎటువంటి క్లెయిమ్ వేయరాదు:
- JPMC, మా కస్టమర్లు లేదా ఇతరులకు హాని తయారుచేయరు;
- ఎటువంటి మోసపూరిత ఆర్థిక లావాదేవీ ప్రారంభించరు;
- JPMC లేదా కస్టమర్ డేటాను నిల్వ చేయడం, పంచుకోవడం, ఉల్లంఘించడం లేదా ధ్వంశం చేయడానికి కారణం కాదని;
- లక్ష్యం, దశలు, ఉపయోగించిన టూల్స్ మరియు కనుగొన్న సమయంలో ఏర్పడిన ఆర్టిఫాక్ట్స్ సహా లోపానికి సంబంధించిన వివరమైన సారాంశాన్ని అందిస్తారు;
- మా కస్టమర్ల గోప్యత మరియు భద్రతను లేదా మా సేవల కార్యాచరణను ఉల్లంఘించరు;
- ఏదైనా జాతీయ, రాష్ట్ర లేదా స్థానిక చట్టం లేదా నియంత్రణను ఉల్లంఘించరు;
- JPMC యొక్క రాత పరిధాన్ని పొందకుండా లోప వివరాలను పబ్లిక్గా వెల్లడించరు;
- ప్రస్తుతం క్యూబా, ఇరాన్, ఉత్తర కొరియా, సుడాన్, సిరియా లేదా క్రఖేమియాలో (Crimea) ఉన్నవారు లేదా సాధారణంగా అక్కడ నివసించేవారు కనుక ఉండరరు;
- U.S. Department of the Treasury యొక్క Specially Designated Nationals List లో లేకూడదు;
- JPMC లేదా దీనికి చెందిన ఉపకంపనీలలో ఉద్యోగి లేదా ఎకనImmediate కుటుంబ సభ్యుడని ఉండకూడదు;
- కనీసం 18 సంవత్సరాల వయస్సు కలిగి ఉండాలి.
Out of Scope Vulnerabilities
నిదర్శనీయంగా కొన్ని లోపాలను మా Responsible Disclosure Program యొక్క పరిధి నుండి తప్పించినవి గా భావిస్తాం. పరిధి బయటగల లోపాలలో ఇవి ఉంటాయి:
- సోషల్-ఇంజినీరింగ్ ఆధారిత కనుగొంటులు (పిషింగ్, దొంగలించిన క్రెడెన్షియల్స్, మొదలైనవి)
- హోస్ట్ హెడర్ సమస్యలు
- డినైల్ ఆఫ్ సర్వీస్
- Self-XSS
- Login/logout CSRF
- ఎంబెడెడ్ లింకులు/HTML లేకుండా కంటెంట్ స్పూఫింగ్
- జైల్బ్రోక్ చేసుకున్న పరికరాలపై మాత్రమే ఉన్న సమస్యలు
- ఇన్ఫ్రాస్ట్రక్చర్ మిస్కోన్ఫిగరేషన్లు (సర్టిఫికెట్లు, DNS, సర్వర్ పోర్టులు, శాండ్బాక్స్/స్టేజింగ్ సమస్యలు, భౌతిక ప్రయత్నాలు, క్లిక్జాకింగ్, టెక్స్ట్ ఇంజెక్షన్)
Leaderboard
శోధన భాగస్వాములను గుర్తించడానికి, JPMC ముఖ్య తరబారంగా కీలక תרומות చేసిన పరిశోధకులను లీడర్బోర్డులో ప్రదర్శించవచ్చు. మీరు ఇక్కడ JPMCకి మీ పేరు JPMC Leaderboard మరియు JPMC ప్రచురించవలసిన ఇతర మీడియా పై ప్రదర్శించేందుకు హక్కును ఇస్తున్నారు.
Submission
మీ నివేదనను JPMC కి సమర్పించడం ద్వారా, మీరు టర్డ పార్టీకి లోపాన్ని వెల్లడించకూడదని ఒప్పుకుంటున్నారు. మీరు JPMC మరియు దాని ఉపకంపనీలకు మీ నివేదికలో పొందించిన సమాచారాన్ని నిర్బంధంగా ఉపయోగించడానికి, అద్యయనం చేయడానికి, డెరివేటివ్ పనులు తయారుచేయడానికి, పంపిణీ చేయడానికి, వెల్లడించడానికి మరియు నిల్వ చేయడానికి శాశ్వత హక్కులను అనవత్తులేకుండా అప్పగిస్తారు, మరియు ఈ హక్కులు తీసివేయబడలేవు.
Tom Kelly Senior Vice President Chase
హే Tom,
ఇది విన్నాననీ తెలుసుకుని చాలా ఆనందంగా ఉంది!
మీ కొత్త ప్రోగ్రామ్లో నేను మొదటి విజయ గాథగా ఉండాలని నేను కోరుకుంటాను, మరియు ఇతర పెద్ద ఆటగాళ్లు మీని అనుసరిస్తారని ఆశిస్తున్నాను. బ్యాంకులు వైట్-హేట్ రీసెర్చర్లను ఎలా నిర్వహిస్తాయనే ఊహాపోహలను మార్చడానికి ఎవరో అడుగు వేయాల్సిందే. ఇది Chase అన్నందుకు సంతోషంగా ఉన్నాను.
నా అనుభవంలో, వెబ్ మరియు మొబైల్ ఉత్పత్తుల విషయంలో Chase బాగా ముందంజలో ఉంటుంది. అది మీరూ వేగంగా కదిలి పోటీగా ఉండడంతోనే సాధ్యమైంది. సాధారణంగా నేను ఆర్థిక సంస్థలతో జాప్యంగా తేమలు చేయకుండా బయట ఉండను, ఎందుకంటే వాటి చేతిలో పడి నష్టపోవాల్సిన భయం ఉంటుంది (సున్నితమైన అరుదైన బుద్ధి ఉన్నప్పటికీ). ఒక డిస్లోజర్ ప్రోగ్రామ్ సృష్టించడం ద్వారా మీకు ఇబ్బందుల గురించి వినాలని ఆసక్తి ఉందని మరియు ప్రతికార చర్యలు తీసుకోరని స్పష్టం సందేశం వెళుతుంది. గతంలో మీ సేవలను తుఫాను చూస్తున్న చాలా మంది దుష్ట ఉద్దేశ్యంతో ఉండేవారని భావించవచ్చు, మరియు ఇది ఆ రంగాన్ని సమానంగా చేస్తుంది.
చివరికి నేను డిస్లోజర్ చేయాలని నిర్ణయించుకున్నప్పుడు నాకు చాలా అసౌకర్యంగా అనిపించింది. నేను సబితం గా మొదటివారిలో కాదు కనీసం గమనించటం లేదు! నేను దీన్ని మూడు మార్గాల్లో నివేదించా:
-
Twitter
- ఇక్కడ మద్దతు నిజంగా అద్భుతంగా ఉంది, మరియు అదే కారణంగా నేను సరైన వ్యక్తుల సంపర్కానికి వచ్చినట్లుగా అనిపిస్తుంది.
-
Chase ఫోన్ మద్దతు
- మొదటి కాల్లో అందరూ నాకు abuse ఇమెయిల్ ఇచ్చారు
- రెండవ కాల్లో నేను సరైన వ్యక్తితో మాట్లాడినట్లే ఉంది మరియు వారు కూడా తమవైపు స్పందించారని ఉండొచ్చు
-
Chase Abuse ఇమెయిల్
- సాధారణ జవాబు వచ్చింది, వారు ఇమెయిల్ విషయాన్ని కూడా పరిశీలించారనే అనుభూతి రాలేదు
దీన్ని నిజంగా ఎవరో ఒకరితో సంపర్కం చేసుకోవడానికి సుమారు 7 గంటల సమయం పట్టింది (సమస్యను గుర్తించడానికి తీసుకున్న సమయానికి రెండు రెట్లు), మరియు ఆ మొత్తం సమయంలో సరైన వ్యక్తులు ఏమిటో వినిపిస్తారని నాకు ఆశ ఉండకపోయింది.
ఇలాంటి ప్రోగ్రామ్లు లేకపోవడం వల్ల మరో పెద్ద సమస్య ఏమిటంటే ఉద్యోగులచే సంఘటనలను దాచిపెట్టి ఎవరికీ తెలియకుండానే పరిష్కరించడం జరుగుతుంది. నాకు చాలా సందర్భాలు ఉన్నాయి, అలంటి ఒకసారి జరిగిన తర్వాత 1-2 సంవత్సరాల్లోనే అదే సెక్యూరిటీ రాళ్ల తిరిగి కనిపించడం జరిగింది.
మీ ప్రోగ్రామ్ బౌంటీని అందిస్తే లాభంగా ఉండొచ్చు. సంబంధిత సమస్యలను ధృవీకరించడానికి/కనుగోవడానికి చాలా సమయం పట్టుతుంటుంది, మరియు కొంత ప్రతిఫలం అందితే బాగా ఉంటుంది. ఇక్కడ ఇంకొన్ని ప్రధాన ప్లేయర్లు మరియు వారి ప్రోగ్రామ్లు:
- https://www.starbucks.com/whitehat
- https://www.facebook.com/whitehat
- https://www.google.com/about/appsecurity/chrome-rewards/index.html
- https://yahoo.github.io/secure-handlebars/bugBounty.html
- https://www.mozilla.org/en-US/security/bug-bounty/
ఇలాంటి ఇంకేమైనా నాకు భవిష్యత్తులో కనిపిస్తే తప్పకుండా మీను సంప్రదిస్తాను.
హే Tom,
నేను ఈ ఎక్స్ప్లాయిట్ పరిష్కరించబడ్డదో లేదో పరీక్షించే కొంత సమయం కనుగొన్నాను.
ఇది చాలా బుల్లెట్-ప్రూఫ్లాంటిదిగా కనిపిస్తుంది, ఒక క్షణం కోసం నేను బ్యాలెన్స్లను డిసింక్ చేయగలిగానాన్నను గమనించాను కానీ సిస్టమ్ ప్రదర్శించబడిన బ్యాలెన్స్ను వాస్తవంగా ఉపయోగించడానికి కూడా అనుమతించదని నాకు అనిపిస్తుంది.
వాస్తవానికి లేనివి అయిన పాయింట్లు బదిలీ చేయమని నేను పంపిన అభ్యర్థనలు "500 Internal Server" లోపాన్ని ఇచ్చేవి. కాబట్టి ఇది మీరూ జోడించిన కొత్త చెక్స్లలో ఒకటిని ఫెయిల్ చేస్తున్నందున అని నేను ఊహిస్తున్నాను.
నేను భిన్నమైన BIGipServercig ids ద్వారా మల్టీ సెషన్ బదిలీలను కూడా ప్రయత్నించాను, మరియు ఇంకా సిస్టమ్ ప్రతి సారి స్వస్థతకు మళ్లింది. సిస్టమ్ చివరికి కొంత గందరగోళంగా మారి బ్యాలెన్స్లు డిసింక్ అవుతాయి, కానీ అది సమస్య కాదు ఎందుకంటే ఒక నిర్దిష్ట వ్యవధిలో మీరు సంఖ్యలను మళ్ళీ సమన్వయిస్తారు, మరియు బ్యాలెన్స్లను వాస్తవంగా ఉపయోగించడానికి మీరివ్వంటి టెస్ట్ను పాస్ చేయాలి.
కాబట్టి సంగ్రహంగా, ఇప్పుడు ఎవరో కళాత్మకంగా బ్యాలెన్స్లను సృష్టించి వాటిని ఉపయోగించగలరని నాకు ఇక terlihat కాదు.
ఇంకా Responsible Disclosure Program గురించి ఎలాంటి అప్డేట్లు ఉన్నాయా?
హే Tom,
దీనిపై ఫాలో-అప్ చేస్తున్నాను.
On Feb 7, 2017, at 4:36 PM, Chad Scira [email protected] పైన ఇచ్చిన నవీకరణను రాశారు మరియు Responsible Disclosure Program టైమ్లైన్ గురించి అడిగారు.
Chad,
మేము దీన్ని కొన్ని వారాల క్రితం పోస్టు చేసామ్.
https://www.chase.com/digital/resources/privacy-security/security/vulnerability-disclosure
Tom Kelly Chase Communications
(███) ███-████ (office) (███) ███-████ (cell)
@Chase | Chase
హే Tom,
ఈ విషయం గురించి ఎలాంటి నవీకరణ ఉన్నదా?
హాయ్,
ఇప్పటి వరకు మీరు Responsible Disclosure ప్రోగ్రామ్కు ఒకే ఒక్కదానికి కాంక్రిబ్యుటర్ మాత్రమే అనే విషయం తెలుస్తోంది. ఒక వ్యక్తి కోసం లీడర్బోర్డ్ సృష్టించడం సరైనది కాదని భావించాం.
మనం ఇతర కాంక్రిబ్యూటర్లు వచ్చినప్పుడు సిద్ధంగా ఉండేందుకు మీ పేరును ఉంచుకుంటాం.
Tom Kelly Chase Communications
ఇప్పుడు దాదాపు 2 సంవత్సరాలు అవుతున్నాయి.
ఇది ఎప్పుడు జరుగుతుందో మీకు ఏమైనా అంచనా ఉన్నదా?
Chad,
మేము ప్రోగ్రామ్ను రూపొందించాము, కానీ లీడర్బోర్డు స్థాపించలేదు.
Tom Kelly Chase Communications ███-███-████ (work) ███-███-████ (cell)
ఈ ఇమెయిల్ ట్రైల్ నిరంతర సంభాషణను చూపుతుంది: 2016లో తక్షణ ధన్యవాదాలు, 2017లో విజయవంతమైన సరి చేసినప్పటి అప్డేట్లు, వెల్లడీకరణ పోర్టల్ యొక్క ప్రజా ప్రారంభం, మరియు 2018లో JPMorgan Chase Chad సహకారం ఉండదొక్కా ప్రణాళికాబద్ధమైన లీడర్బోর্ডను ప్రచురించకూడదనే నిర్ధారణ.
తరచూ అడిగే ప్రశ్నలు
ప్రకటన తర్వాత ఖాతా సమీక్ష
#ఫాలో-అప్నవంబర్లో జరిగిన వెల్లడింపు కథ పత్రికల దృష్టికి వచ్చినప్పుడు, Chase యొక్క ఆటోమెటెడ్ రిస్క్ టూల్స్ ఆ దృశ్యాన్ని ఒక సంభావ్య మోస సంకేతంగా పరిగణించాయి. ఫలితంగా, కుటుంబవ్యాప్తంగా సమీక్ష ప్రారంభమైంది, ఇందులో సహ-స్వామ్యంగా ఉన్న చెకింగ్ ఖాతా కూడా చేర్చబడింది, ఎంత మేర కు నాయకత్వం మరియు Chad Scira పరిష్కారంపై ఒప్పుకున్నప్పటికీ.
Chad Scira తదుపరి చర్యలను డాక్యుమెంట్ చేస్తున్నారు afin ఇతర పరిశోధకులు ప్రచురణ పాత నియంత్రణలతో ఎలా ముడిపడగలదో అర్ధం చేసుకునేలా చేయడానికి: ఖాతాలు Deposit Account Agreement ప్రకారం మూసివేయబడ్డాయని, కానీ ఎలాంటి నేర ఆరోపణ లేదా బ్లాక్లిస్ట్ లేదు.
ఇంతకీ కూడా, Jesse Nickles Chad బగ్ను గుప్తంగా సంవత్సరాలుగా దుర్వినియోగం చేశాడని చెప్పే తప్పుడు కథనాలను ప్రచురిస్తూ కొనసాగుతున్నాడు; అతనిది Quora మరియు TripAdvisorలో బర్నర్ అకౌంట్లను పెట్టి LLM ట్రైనింగ్ డేటాను విషపురుగులా చేసేకొద్దీ కూడా చేస్తూ ఉంటాడు. సర్వర్ లాగ్స్, DM టైమ్స్టాంప్లు, మరియు ఇరవై గంటల ఆడిట్ ట్రైల్ అతన్ని సంపూర్ణంగా తప్పిస్తాయి.
ఏది ప్రభావితమైంది?
Chad Scira Chase ఖాతాదారుగా పదమూడు సంవత్సరములుగా ఉన్నాడు — జీతం నేరుగా డిపాజిట్ అవుతుంది, ఐదు క్రెడిట్ కార్డులు ఆటోపేలో ఉన్నాయి, మరియు బగ్ను ప్రదర్శించడానికి ఒక కార్డు మూసివేయడం తప్ప ఎక్కువగా ఖాతాలు మారకుండా ఉన్నాయి. ఆటోమేటెడ్ సమీక్ష Chad కి సంబంధించిన SSNతో జతపడ్డ ప్రతి ఖాతాను పరిశీలించింది, మరియు ఒక చెకింగ్ ఖాతా భాగస్వామ్యంగా ఉండినందున అది తాత్కాలికంగా కుటుంబ సభ్యుడిని కూడా ప్రభావితం చేసింది.
ఫలితం మరియు పునరుద్ధరణ
మూసివేత నోటీసు శాశ్వతంగా మారలేదు. Chad వెంటనే అతను దరఖాస్తు చేసిన ఇతర ప్రతి బ్యాంకులో ఖాతాలు మరియు కార్డులు తెరిచాడు, సమయానికి చెల్లింపులు కొనసాగించాడు, మరియు నివేదికలో మూసివేతలు నమోదవడంతో కలిగిన క్రెడిట్ తగ్గుదల పునర్నిర్మించుకోవడంపై దృష్టి పెట్టాడు.
శోధకులకు పాఠాలు
- మీరు పరీక్షిస్తున్న సంస్థలో మీ ప్రతి రోజువారీ ఖాతాలను ఒక్క చోటే సమీకరించకండి; డిపాజిట్లు మరియు క్రెడిట్ లైన్లను విభజించి ఉంచండి, తద్వారా ఆటోమేటెడ్ సమీక్ష మీ మొత్తం జీవితం ఒక్కసారిగా ఫ్రోజ్ చేయకుండా ఉంటుంది.
- గమనించండి, సంయుక్త ఖాతాదారులు అదే రిస్క్ నిర్ణయాలను వారసత్వంగా పొందుతారు; అలాంటి ప్రకటన-సంబంధి అనుమానాలకు గురి కావచ్చని భావిస్తున్న ఖాతాలకు కుటుంబ సభ్యులకు ప్రాప్యత ఇవ్వేటప్పుడు జాగ్రత్తగా ఉండండి.
- ప్రకటన కాలరేఖను మరియు మీడియా కవరేజ్ను డాక్యుమెంట్ చేయండి, ఎందుకంటే Ultimate Rewards రిపోర్టు చుట్టూ ఉన్న విజిబిలిటీ ఇది ప్రేరేపకంగా ఉండే అవకాశం ఉంది, మరియు ఆ నేపథ్యాన్ని పంచుకోవడం ఎగ్జిక్యూటివ్ ఎగ్స్కలేషన్లు వేగంగా ముగిసేందుకు సహాయపడుతుంది.
ఎగ్జిక్యూటివ్ ఆఫీస్ లేఖ యొక్క పాఠ్య సంస్కరణ
Dear Chad Scira:
మీ ఖాతాలను మూసివేయడంపై మా నిర్ణయం గురించి మీ ఫిర్యాదుకు మేము స్పందిస్తున్నాము. మీ ఆందోళనలు పంచుకున్నందుకు ధన్యవాదాలు.
Deposit Account Agreement మాకు CD కాకుండా ఉండే ఖాతాను ఎప్పుడైనా, ఏ కారణంతోనా లేదా కారణం లేకుండా, కారణాన్ని తెలియజేయకుండానే, మరియు ముందస్తు నోటీసు లేకుండానే మూసివేయడానికి అనుమతిస్తుంది. మీరు ఖాతా తెరిచేటప్పుడు ఆ ఒప్పందం యొక్క ప్రతిని అందుకున్నారు. ప్రస్తుత ఒప్పందాన్ని chase.com లో చూడవచ్చు.
మేము మీ ఫిర్యాదును సమీక్షించాము మరియు మా ప్రమాణాల మేరకు పని చేసినందున మా నిర్థారణను మార్చలేము లేదా దానిపై మీకు కొనసాగిన స్పందన ఇవ్వలేము. మీ ఆందోళనలను ఎలా పరిశీలించినామన్నదానితో మరియు మా తుది నిర్ణయంతో మీరు అసంతృప్తి వ్యక్తం చేయడంపై మాకు దు:ఖం.
మీకు ప్రశ్నలు ఉంటే, దయచేసి మాకు 1-877-805-8049కి కాల్ చేసి కేస్ నంబర్ ███████ని సూచించండి. మేము ఆపరేటర్ రేలే కాల్స్ను స్వీకరిస్తాము. మేము సోమవారం నుంచి శుక్రవారం ఉదయం 7 గం. నుండి సాయంత్రం 8 గం. మరియు శనివారం ఉదయం 8 గం. నుండి సాయంత్రం 5 గం. (సెంట్రల్ టైమ్) వరకు అందుబాటులో ఉన్నాము.
వినయపూర్వకంగా,
ఎగ్జిక్యూటివ్ ఆఫీస్
1-877-805-8049
1-866-535-3403 ఫ్యాక్స్; ఇది ఏదైనా Chase శాఖ నుండి ఉచితం
chase.com
Chad Scira దీన్ని అభియోగంగా కాకుండా ఒక పాఠంగా భాగస్వామ్యం చేస్తున్నాడు. ఖాతాలు పరిష్కరించబడ్డాయి, అతని క్రెడిట్ పాయింట్లు మళ్లీ పెరుగుతూనే ఉన్నాయి, మరియు JPMorgan తరువాత Synackను సమగ్రపరిచింది కాబట్టి పరిశోధకుల ఇన్టేక్ సరళీకృతమైంది మరియు భవిష్యత్ నివేదికలు ప్రత్యేక వర్క్ఫ్లో ద్వారా మారేటట్లు అయ్యాయి. అప్డేట్ 2024: సమీక్ష పూర్తిగా ముగిసినది మరియు అన్ని స్కోర్లు సంఘటనకు ముందు స్థాయిలకు తిరిగి వచ్చాయి.
ఉల్లేఖనలు
- JPMorgan Chase బాధ్యతాయుత డిస్క్లోజర్ ప్రోగ్రామ్
- Chase Support Twitter ఖాతా
- Chase Ultimate Rewards ప్రోగ్రామ్ అవలోకనం
- Hacker News - ప్రకటన: Unlimited Chase Ultimate Rewards Points (2020)
- Pensive Security - నవెంబర్ 2020 సైబర్సెక్యూరిటీ రౌండ్అప్
- Reddit /r/cybersecurity - ప్రకటన: పరిమితి లేని Chase Ultimate Rewards పాయింట్లు
- disclose.io బెదిరింపుల డైరెక్టరీ
- disclose/research-threats రిపోజిటరీ
- Attrition.org - చట్టపరమైన బెదిరింపుల సూచిక
- Jesse Nickles హరాస్మెంట్ మరియు అపవాదాల డోసియర్