- Nícolas Marchetti, estudante de Engenharia de Telecomunicações do Instituto Nacional de Telecomunicações (Inatel), em Santa Rita do Sapucaí, recebeu US$ cinco mil por encontrar falha de alta gravidade no X (antigo Twitter) ligada à parte financeira.
- A vulnerabilidade foi reportada via HackerOne, plataforma que conecta empresas a pesquisadores de segurança, e corrigida pela própria plataforma.
- A remuneração de aproximadamente R$ 25,1 mil acompanha a cotação atual; Marchetti já recebeu US$ cem por outra vulnerabilidade e houve dois reports duplicados sem prêmio.
- O pesquisador disse ter trabalhado três dias no escopo do X na HackerOne para identificar a falha; explicou que envolve o fluxo financeiro da rede social.
- Ele destacou que programas de bug bounty exigem persistência, muitos testes e criatividade, e não pode compartilhar detalhes por sigilo.
Um estudante de Engenharia de Telecomunicações do Inatel, Nícolas Marchetti, recebeu US$ 5 mil por detectar uma falha de alta gravidade em um sistema financeiro do X, o antigo Twitter. A brecha foi relatada, mantida sob sigilo e corrigida pela plataforma.
A descoberta ocorreu durante participação no programa de bug bounty via HackerOne. Em três dias de exploração do escopo do X, Marchetti identificou uma vulnerabilidade classificada como de alta severidade, com impacto direto na plataforma financeira.
Por questões de sigilo, o pesquisador não pode detalhar a falha. Ele disse ao g1 que envolve a parte financeira da rede social, descrevendo que utilizou uma ferramenta para entender o tráfego e modificou parâmetros para obter vantagem financeira no X.
A denúncia foi enviada por meio do HackerOne, que conecta empresas a pesquisadores. O X avaliou o reporte como de alta severidade e realizou a correção de forma ágil.
Primeiro ganho, mesma dedicação
Segundo Marchetti, a recompensa atual é a primeira recebida em um programa de bug bounty. Ele também informou ter recebido US$ 100 por uma segunda vulnerabilidade, além de dois relatos classificados como duplicatas, que não resultaram em pagamento.
A participação em programas de bug bounty é aberta a pesquisadores globais, requer conhecimento avançado em computação e envolve testes reiterados para encontrar falhas. Marchetti ressaltou que o processo exige persistência, muitos testes e criatividade.
Entre na conversa da comunidade