La piattaforma di coordinamento delle vulnerabilità e di ricompense dei bug HackerOne ha rivelato che un ex dipendente ha avuto accesso improprio ai rapporti sulla sicurezza inviati da hacker white-hat per richiedere taglie aggiuntive.
L'indagine è iniziata il 22 giugno 2022, quando un cliente ha chiesto all'azienda di indagare su una divulgazione di vulnerabilità sospetta effettuata al di fuori della piattaforma HackerOne. Questa richiesta sospetta era simile a quella inviata tramite la piattaforma HackerOne.
“
Dopo un'indagine da parte del team di HackerOne Security, abbiamo scoperto che un dipendente aveva avuto accesso improprio ai rapporti di sicurezza per guadagno personale" si legge dal rapporto pubblicato dalla società.L'azienda ha identificato il dipendente infedele analizzando i registri interni degli accessi per i sistemi contenenti invii. Gli esperti hanno notato che solo un singolo dipendente aveva avuto accesso a ciascuna divulgazione che i clienti sospettavano di essere stata nuovamente divulgata dall'attore della minaccia.
La società ha informato i clienti delle segnalazioni di bug a cui ha avuto accesso il dipendente, non hanno trovato prove che i dati di vulnerabilità a cui si accede siano stati utilizzati in modo improprio.
La società ha annunciato una serie di ulteriori miglioramenti, come l'implementazione di processi di registrazione aggiuntivi per migliorare la risposta agli incidenti, l'implementazione dell'isolamento dei dati per ridurre il "raggio di esplosione", la pianificazione di ulteriori attività di red teaming e il miglioramento dei processi per identificare l'accesso anomalo e rilevare in modo proattivo le minacce interne.
