Nel mese di ottobre 2024, il ricercatore di sicurezza Ben Sadeghipour ha scoperto una vulnerabilità nel sistema di annunci di Facebook che gli consentiva di eseguire comandi sul server interno dell'azienda, acquisendone il controllo.
Dopo aver prontamente segnalato il problema a Meta, società madre di Facebook, la vulnerabilità è stata risolta in un'ora e Sadeghipour ha ricevuto una ricompensa di 100.000 dollari per la sua scoperta.
La falla di sicurezza era legata a un difetto precedentemente corretto nel browser Chrome, utilizzato da Facebook per gestire gli annunci, che, da non aggiornato, ha permesso a Sadeghipour di interagire con i server interni di Facebook attraverso una versione "headless" del browser.
Sebbene Sadeghipour non abbia esplorato tutte le possibili azioni a disposizione una volta entrato nel server, ha sottolineato la pericolosità dell'accesso all'infrastruttura interna.
Ha anche avvertito che piattaforme pubblicitarie simili gestite da altre aziende potrebbero presentare vulnerabilità simili.
Ma come mai è stato pagato?
Grazie al "bug bounty". Il bug bounty è un programma offerto da aziende o organizzazioni per incentivare sviluppatori, ricercatori di sicurezza e hacker etici a individuare e segnalare vulnerabilità o bug nei loro sistemi, applicazioni o siti web. Questi programmi prevedono una ricompensa, spesso in denaro, che varia in base alla gravità del problema scoperto e all'importanza per la sicurezza del sistema. Solo nel 2020 la piattaforma HackerOne ha contato una comunità di 600.000 hacker e 120.000 vulnerabilità trovate e segnalate tramite bug bounty.
Questo testo è un riassunto del seguente articolo (eng):
Lorenzo Franceschi-Bicchierai
Alternativa in italiano: non pervenuta
