SBB mit öffentlichem Bug-Bounty-Programm

Erst vor kurzem waren die Schweizerischen Bundesbahnen von einer Cyberattacke betroffen, die über infizierte E-Mail-Anhänge erfolgte ("Swiss IT Magazine" berichtete). Jetzt haben die SBB ein öffentliches Bug-Bounty-Programm lanciert, das mithilfe der spezialisierten Plattform Intigrity realisiert wird. Laut der Ausschreibung wollen die SBB damit vor allem mögliche Leaks von Kundendaten sowie potenzielle Datenmanipulationen ausfindig machen. Die Prämien für gefundene Bugs reichen im Tier 1 von 25 Euro für eher unbedeutende Fehler bis zu 4000 Euro für "ausserordentliche" Bugs, im Tier 2 werden null bis 2000 Euro ausgezahlt – ausgenommen sind SBB-Mitarbeitende und externe Partner. Die SBB versprechen, innerhalb von maximal 2 Wochen auf Bug-Meldungen zu reagieren.


Bei Tier 1 des Programms geht es einzig und allein um die Plattform Swisspass.ch. Alle anderen aufgeführten SBB-Plattformen sind im Tier 2 mit den um die Hälfte geringeren Prämien zusammengefasst, für die Entdeckung unwichtiger Fehler wird gar nichts bezahlt. Konkret umfasst Tier 2 die Plattformen Bahninfrastruktur.sbb.ch, Beta.sbb.ch, Bimchange.sbb.ch, Business.sbb.ch, Elvetino.ch, Sbbcargo.com sowie Transsicura.ch. Weitere SBB-Websites sind nicht im Bug-Bounty-Programm enthalten. (ubi)