企业借外力发现漏洞,丰田感谢腾讯

“我们会认真对待获得的信息”,丰田3月发布消息称,雷克萨斯品牌的SUV“NX300”被发现了漏洞。发现者是腾讯控股的安全研究团队。这是一个负责发现漏洞的专业团队,以往也被美国特斯拉等企业表彰过。 

编者按:本文来自“日经中文网”。

“我们会认真对待获得的信息”,丰田3月发布消息称,雷克萨斯品牌的SUV“NX300”被发现了漏洞。发现者是腾讯控股的安全研究团队。这是一个负责发现漏洞的专业团队,以往也被美国特斯拉等企业表彰过。 

企业借外力发现漏洞,丰田感谢腾讯

雷克萨斯“NX300”

据悉此次发现的漏洞是虽然无法进行“行驶、转弯、停车”的控制,但能远程操控车身的一部分。丰田分析称,这种远程操控“需要难度极高的程序”,现实中被滥用的可能性很低。但是,丰田没能通过自己的力量发现问题。目前在日本销售的车辆不存在这种漏洞。

丰田在被指出风险之后花费半年时间消除漏洞,在完成对策的3月公布了事实。丰田没有给予金钱方面的酬谢,但在新闻公告中表示,“对(腾讯的)技术实力表示敬意”。

企业为了发现自身产品和系统的弱点,借助外部研究人员和善意黑客的力量的趋势正在扩大。这是因为存在像丰田的案例那样通过实际攻击才能发现的漏洞。

其背后是按照发现缺陷的严重程度而支付谢礼的“bug bounty program(漏洞赏金计划)”的普及。除了美国谷歌等IT企业之外,美国星巴克和德国汉莎航空也引进了这种机制。在最大平台美国HackerOne,2019年合计有4000万美元奖金付给黑客。

技术人员达到60万人

日本企业对这种机制的利用也在增加。索尼互动娱乐公司6月宣布,向发现游戏机PlayStation4相关漏洞的黑客最高支付5万美元。该公司决定向社会广泛公开此前的非公开措施,以借助更多黑客的力量。在开始后约4个月后,该公司总计向黑客支付了约28万美元。此外,任天堂和LINE也在扩大奖金制度。

企业借外力发现漏洞,丰田感谢腾讯

企业依赖的是在HackerOne注册的60万名技术人员。

“日本情报处理推进机构”(IPA)的《IT人才白皮书2020》显示,在日本,IT技术人员的7成以上隶属于富士通和NEC等IT企业。形成对照的是,美国只有不到4成的技术人员在IT企业工作。在多家企业之间辗转的技术人员也很多,也有着通过发现漏洞而更好地推销自己的动机。

企业借外力发现漏洞,丰田感谢腾讯

报告漏洞1600个以上

2019年甚至出现了累计赚到100万美元以上奖金的黑客。那就是生活在阿根廷的Santiago Lopez,当时19岁。他通过自学掌握技术,在4年里向美国推特等多家企业合计报告了1600多个漏洞。

趋势科技(Trend Micro)的数据显示,自2019年4月至2020年3月遭受网络攻击的日本国内企业的平均受损金额达到1.48亿日元。越来越多企业认为,与受损时的成本等相比,付给黑客的奖金比较便宜。

不过,如果应对不当也会带来风险。

2019年10月,美国黑客在推特上公开了日本旅行社HIS经营的“奇怪酒店”的漏洞。据悉可以远程操控机器人的摄像头来窥视客房里的情形。黑客在酒店住宿时发现并向酒店报告了这一漏洞,“90天内没有回应,因此予以公开”。HIS当即道歉,表示已做好处理。

每年赚到500万日元(约合人民币31.9万元)奖金的黑客、三井物产Secure Directions的米山俊嗣指出,“很多海外企业会对发现漏洞并通报表示感谢。另一方面,仍有很多日本企业愤怒地认为不应多管闲事”。要充分运用黑客的知识,需要具备达到世界标准的应对能力。

本文原始出处:https://www.weibo.com/ttarticle/p/show?id=2309404567840408600602#_0

本内容经授权或投稿发布,不代表【中国新消费】立场;转载请注明作者和出处。