Rambler&Co

Rambler&Co занимает первое место среди медиахолдингов России по размеру ежемесячной аудитории — свыше 45,2 млн человек (по данным Mediascope, Cross Web, 2023). В него входят «Лента.ру», «Газета.Ru», портал «Рамблер», Championat.com, «Секрет фирмы», Motor.ru, Ferra.ru и ряд других медиаактивов. Благодаря различной тематической принадлежности площадок холдинг покрывает почти весь спектр интересов и потребностей различных аудиторий.

Rambler&Co ranks first among media holdings in Russia by monthly audience size, with over 47.7 million people (according to Mediascope, Cross Web, March 2022). It includes Lenta.ru, Gazeta.Ru, the Rambler portal, Championat, Sekret Firmy, Motor.ru, Ferra.ru, and several other media assets. Due to the diverse thematic focus of its platforms, the holding covers almost the entire spectrum of interests and needs of various audiences.

Rambler&Co · Bug Bounty

Демонстрация возможности получения доступа к конфиденциальной информации (например, по договорам, контрагентам и т.д.) и (или) персональным данным работников и клиентов Компании.

В Компании осуществляются процессы, связанные с обработкой конфиденциальной информации, например, о договорах, контрагентах, объектах интеллектуальной собственности, а также персональных данных работников и клиентов Компании.
Указанная конфиденциальная информация обрабатывается в системах Компании 1С: ДО, 1С: ЗУП, 1С:ЭДО, CRM (далее – «Целевые системы»).
Исследователю необходимо разобраться в том, как работают бизнес-процессы Компании, в которых участвуют эти целевые системы, и продемонстрировать возможность получения привилегированного доступа к Целевым системам Компании.

Для того чтобы реализовать недопустимое событие, исследователю нужно предоставить скриншот, подтверждающий получение соответствующих прав к Целевым системам Компании.
При этом уязвимость, которая только может потенциально привести к получению соответствующих прав, сама по себе не признается реализацией недопустимого события.

Демонстрация возможности получения доступа к конфиденциальной информации (например, по договорам, контрагентам и т.д.) и (или)  персональным данным работников и клиентов Компании

Демонстрация возможности кражи денежных средств Компании
В Rambler&Co существуют процессы, связанные с движением денег, оплатой услуг, контрагентов, покупкой лицензий, выдачей заработной платы и т.д. Исследователю необходимо разобраться в том, как работают бизнес-процессы, какие системы в них участвуют, например 1С: БФ, 1C: ЗУП, АРМ сотрудников казначейства, бухгалтерии и разработчиков 1С, терминальные сервера Компании, и попробовать перевести 2000 рублей со счета Компании на любой подконтрольный себе счет. Транзакция должна быть инициирована исследователем и пройти через банк. Перевод денег сотруднику Компании не считается реализацией недопустимого события.
Для реализации недопустимого события исследователем могут быть предприняты, например, следующие действия:
компрометация АРМ сотрудников казначейства, бухгалтерии и разработчиков 1С Компании;
компрометация терминального сервера;
подмена/модификация текстового файла, содержащего платежные поручения, для импорта в клиент-банк и с последующей успешной загрузкой и выполнением платежей;
подмена/модификация платежного поручения в системе 1С с последующим успешным проведением платежа;
создание/модификация счета и договора в системе 1С с последующей оплатой.

Демонстрация возможности кражи денежных средств Компании

В Компании осуществляются процессы, связанные с обработкой конфиденциальной информации, например, о договорах, контрагентах, объектах интеллектуальной собственности, а также персональных данных работников и клиентов Компании.
Указанная конфиденциальная информация обрабатывается в системах Компании 1С: ДО, 1С: ЗУП, 1С:ЭДО, CRM (далее – «Целевые системы»).
Исследователю необходимо разобраться в том, как работают бизнес-процессы Компании, в которых участвуют эти целевые системы, и продемонстрировать возможность получения привилегированного доступа к Целевым системам Компании.

Для того чтобы реализовать недопустимое событие, исследователю нужно предоставить скриншот, подтверждающий получение соответствующих прав к Целевым системам Компании.
При этом уязвимость, которая только может потенциально привести к получению соответствующих прав, сама по себе не признается реализацией недопустимого события.
Внимание! Выгружать конфиденциальную информацию Компании, в том числе персональные данные сотрудников и клиентов, запрещено. Достаточно продемонстрировать возможность получения прав такого доступа.

В Rambler&Co существуют процессы, связанные с движением денег, оплатой услуг, контрагентов, покупкой лицензий, выдачей заработной платы и т.д. Исследователю необходимо разобраться в том, как работают бизнес-процессы, какие системы в них участвуют, например 1С: БФ, 1C: ЗУП, АРМ сотрудников казначейства, бухгалтерии и разработчиков 1С, терминальные сервера Компании, и попробовать перевести 2000 рублей со счета Компании на любой подконтрольный себе счет. Транзакция должна быть инициирована исследователем и пройти через банк. Перевод денег сотруднику Компании не считается реализацией недопустимого события.
Для реализации недопустимого события исследователем могут быть предприняты, например, следующие действия:
1.	компрометация АРМ сотрудников казначейства, бухгалтерии и разработчиков 1С Компании;
2.	компрометация терминального сервера;
3.	подмена/модификация текстового файла, содержащего платежные поручения, для импорта в клиент-банк и с последующей успешной загрузкой и выполнением платежей;
4.	подмена/модификация платежного поручения в системе 1С с последующим успешным проведением платежа;
5.	создание/модификация счета и договора в системе 1С с последующей оплатой.

Внимание! Нельзя превышать указанную сумму. При нарушении условия для исследователя могут наступить негативные последствия, на которые Компания не сможет повлиять. 
Запрещено прямое воздействие на системы банков, обеспечивающих проведение платежей.