RESPONSIBLE DISCLOSURE

Le informazioni in questa pagina sono destinate ai security research (ricercatori di sicurezza) che vogliono segnalare la vulnerabilità dei sistemi BinckBank.

Se sei un cliente Binck e hai domande su frodi, phishing o malware ti invitiamo a contattare il nostro Servizio Clienti.
In BinckBank, la sicurezza dei nostri sistemi e la protezione dei tuoi dati sono per noi una delle principali priorità. I nostri specialisti lavorano costantemente per ottimizzare i nostri sistemi e processi. Nonostante gli sforzi che impieghiamo i nostri sistemi potrebbero essere ancora vulnerabili.

Se sei un ricercatore di sicurezza e hai scoperto una vulnerabilità dei nostri sistemi, ti invitiamo a segnalarcelo in modo da poter migliorare insieme l’affidabilità dei nostri sistemi. Inviaci il tuo rapporto (in inglese) a responsible-disclosure@binck.it.
Il nostro team di sicurezza esaminerà i risultati e cercherà di rispondere entro due giorni lavorativi.

Responsible Disclosure - Linea Guida
Esamineremo i rapporti inviati e faremo ogni sforzo per risolvere rapidamente il problema. Non intraprenderemo azioni legali nei tuoi confronti o ti sottoporremo ad indagine se rispetti le linee guida di seguito elencate, salvo la tua attività sia contraria alla legge o sia finalizzata ad arrecare un danno a Binck:

• Fornire dettagli sulla vulnerabilità, i passaggi intrapresi per scoprire il problema, tutte le informazioni e le prove al fine di riprodurre il problema
• Assicurare che durante l’indagine di vulnerabilità non causate alcun danno ai nostri sistemi
• Non utilizzare social engineering per accedere ai nostri sistemi IT
• Non lasciare mai che la tua indagine interrompa i servizi di BinckBank o altri servizi
• Non pubblicare mai dati bancari o dei clienti, che potresti trovare durante la tua indagine
• Non inserire una backdoor nel sistema, nemmeno allo scopo di mostrare la vulnerabilità, poichè l’inserimento di una backdoor causerà ancora più danni alla sicurezza dei nostri sistemi
• Non modificare o non cancellare dati dai sistemi. Se la tua ricerca richiede di copiare dati dal sistema, non copiare più del necessario
• Non apportare modifiche al sistema
• Non forzare il sistema nemmeno per ottenere l’accesso
• Non rendere pubbliche le informazioni da te rilevate
• Dare a BinckBank il tempo ragionevole per risolvere il problema prima di rendere pubbliche le informazioni

Categorie di vulnerabilità che incoraggiamo
Siamo principalmente interessati a conoscere le seguenti categorie di vulnerabilità:

• Vulnerabilità di esecuzione di codici in modalità remota
• Vulnerabilità Cross Site scripting
• Punti deboli della crittografia
• Vulnerabilità SQL injection
• Vulnerabilità che aggira i meccanismi di autenticazione
• Vulnerabilità che danno accesso non autorizzato alle informazioni

Categorie di vulnerabilità fuori ambito
Le seguenti vulnerabilità non rientrano nel nostro programma di Responsible Disclosure:

• Le nostre policy sulla presenza o meno di record SPF/ DKIM/ DMARC
• Versione del server o di applicativi di terze parti senza Proof of Concept
• Segnalazioni SSL/TLS non sicure e altre configurazioni errate
• Vulnerabilità generiche legate a software o protocollo che non sono sotto il controllo di BinckBank
• Attacchi Distributed Denial of Service, SPAM o tecnica di ingegneria sociale, rapporti di scansioni regolari come scanner Port o scanner di vulnerabilità

La tua privacy
Utilizzeremo i tuoi dati personali solo per entrare in contatto con te e per intraprendere azioni che riguardano quanto ci hai segnalato. Non distribuiremo le tue informazioni personali a terzi senza la tua autorizzazione a meno che non venga richiesto dalla legge, o se un’organizzazione esterna subentra nell’indagine sulla vulnerabilità. In tal caso, faremo in modo che l’autorità competete tratti le tue informazioni personali in modo confidenziale.