TADA Security Bug Bounty Program

TADA

Rp0 ~ Rp5.000.000Total reward

Description

What is TADA

TADA is a data-driven Customer Retention Platform (CRP), which is built upon the fact that businesses should be actively investing on customer retention rather than just focusing on acquiring customers. TADA empowers businesses to double their profit per customer through smart assessment and consultation of your business and provision of the best solution such as Digital Membership, Subscription, Referral , Digital rewards.

Our Mission

To help businesses double your profit per customer through our customer retention platform (CRP). We believe a business will prosper when closer relationships are formed between their key stakeholders and managed in a sustainable way that creates a win-win scenario for all.

Our Vision

To create a truly-global product. Truly global meaning that a bakery in Argentina can use us, an ice cream shop in Malaysia can use us, a multi-national bank in Jakarta can use us and so on … I think you get the idea!

Target info

SCOPE

The target included in this program is ONLY a web-based application with the URL https://johndoebank.usetada.com/.

UPDATE 20/05/2021
Bellow are the credentials that you can use to login to https://johndoebank.usetada.com/:
Phone Number: 6281200000001
Static OTP: 777352

UPDATE 13/11/2020: In addition https://penguin.buyfrom.io/marugrpp will be added as a target for this program

TADA also wants to know the risks in other targets that can impact TADA either directly or indirectly (for example through 3rd party apps). For this reason, if the researcher finds a new target outside the list written above, please contact the RedStorm team via email

[research[email protected]] (mailto: [email protected])

by notifying / registering the target to get approval / permission from the program owner.

The penetration testing method is black box and will not be given access beyond what the current Bug Bounty Hunters as registered security researchers have. To ensure that the IP Pentester will not be blocked, it is highly recommended before starting testing to register the IP used via the link below:

**https: //www.redstorm.io/researcher/regip**
or email to
[research[email protected]] (mailto: [email protected])

RULE OF THE GAME

Reporting must go through the ‘Send Report‘ feature on the RedStorm web application by including evidence and how to carry out the exploitation.
The level of risk from the findings can be selected and considered by the researcher that are provided:

  • P1 - Critical
  • P2 - High
  • P3 - Moderate
  • P4 - Low
  • P5 - Information / Other

The points to be awarded by system are:

  • P1 - 100
  • P2 - 50
  • P3 - 20
  • P4 - 10
  • P5 - 5

Prizes / rewards that will be given depend on considerations of security risks following the following scheme:

  • P1 - IDR 5,000,000 (+ Points)
  • P2 - IDR 1,000,000 (+ Points)
  • P3 - IDR 500,000 (+ Points)
  • P4 - Points
  • P5 - Points
    UPDATE 08/01/2021 15:15: P1 Reward reward has been raised.

GUIDELINES FOR CONDUCT

RedStorm wants to create a business environment that is safe and upholds ethical professionalism.
For this reason, there are three main aspects that every security researcher who participates in programs on our platform should pay attention to:

  • CONFIDENTIALITY - All reported security vulnerabilities should not be leak into public spaces.
  • INTEGRITY - Only report security issues that are deemed valid and do not use the findings of the security vulnerabilities for tampering purposes. If there is more than 1 report regarding the same security problem, then the first one to report will be considered valid.
  • PROFESSIONALISM - Security researchers are fully responsible for the findings reported and should be contacted if necessary for explanation or other complementary information.

ACCEPTANCE CRITERIA

Delivery process
If you believe you have found a security vulnerability, please file a report for the program concerned through the RedStorm platform.
Any security vulnerability report submissions will be treated with high priority, including when the report is validated, when we need more information from you, or when you qualify for a reward. Each submission is evaluated by us on a first-in first-served basis.

* Basic Rules *
RedStorm is committed to protecting the interests of security researchers.
The more your behavior follows these rules, the more we can protect you in the event of an uneasy disclosure situation.

Each program can have varying rules.
Please carefully read the Program Summary for specific regulations, if any.
However, the following rules apply to all programs:

  • Research should be carried out only on the systems listed under the ‘Scope‘ section of the Program Brief. Any other system is beyond its scope.
  • Unless otherwise stated in the Program Summary, you must create test accounts for research purposes.
  • Submissions must be made EXCLUSIVELY through RedStorm to be considered a prize.
  • Submission-related communications must remain within RedStorm or the official RedStorm support channels during the disclosure process.
  • Actions that affect the integrity of the target program or destabilize it are prohibited. If you notice a decrease in performance on the target system, you should immediately suspend all use of automated tools.
  • The submission must impact the target‘s security posture. Impact means a reported issue affecting the target user, system, or data security in a significant way. Researchher can be asked to keep the impact confidential in order to be eligible for the prize.
  • Submissions may be closed if the researcher is not responsive to requests for additional information after 7 business days.
  • The existence or details of programs are private or invitation may not be communicated to anyone who is not a RedStorm employee or an authorized employee of the organization responsible for the program.
  • We encourage researchers to include videos or screenshots (proof-of-concept) in reporting security vulnerabilities. These files may not be shared publicly. This includes uploading to any website that is publicly accessible (like Vimeo, Imgur, etc.). If the file exceeds 50 MB, upload the file to a secure online folder such as Dropbox that has been protected by password.
  • The RedStorm Disclosure Policy applies to all submissions made through the RedStorm platform, including for Duplicate, Out of Scope, and Not Applicable findings reports. Program owners can choose a Disclosure, Coordinated Disclosure, or Specific Information Disclosure Policy to apply to their program summary. Please see our Additional Disclosure Policy for details on the different Public Disclosure Policies on RedStorm.
  • If a researcher wishes to retain disclosure rights for vulnerabilities that are outside the scope of a program‘s scope, he or she must report the problem to the relevant vendor directly. RedStorm can assist researchers in identifying suitable email addresses to contact. Program owners are encouraged to ensure that their program coverage includes all the critical components for which they wish to receive vulnerability reports.
  • Violation of the disclosure policies stated by the program may result in enforcement action as outlined in the RedStorm Terms of Service.

Violation of these rules may result in the cancellation of delivery and confiscation of all prizes, both for current and future programs on the RedStorm platform.

* Types of Submission Excluded *
Some types of submissions are excluded because they are dangerous to assess, or because they have a low security impact on program owners. This section contains issues that RedStorm cannot accept, which will immediately be marked invalid and not rewarded.

  • Findings from physical testing such as office access (eg open doors, tailgating).
  • Findings originating from social engineering or social engineering (eg phishing, vishing).
  • Findings from applications or systems that are not listed in the ‘Target‘ section.
  • Functional, UI and UX bugs and misspellings (typos).
  • Denial-of-service (DoS or DDoS) vulnerabilities at the network level.
  • General submission types that do not include qualifications

Some of the types of submissions we rate do not qualify for prizes because they do not have a security impact

PROGRAM REWARDS

You will be eligible for a prize if you are the first to report a previously unknown AND vulnerability to code or configuration that could impact to code changes, configuration changes or data changes.
Rewards will be sent periodically every month.

CAKUPAN

Target yang termasuk dalam program ini HANYA aplikasi berbasis web dengan URL https://johndoebank.usetada.com/.

UPDATE 20/05/2021
Dibawah ini merupakan kredensial yang dapat Anda gunakan untuk login ke https://johndoebank.usetada.com/:
Phone Number: 6281200000001
Static OTP: 777352

UPDATE 13/11/2020: Sebagai tambahan URL https://penguin.buyfrom.io/marugrpp akan di tambahkan sebagai target dalam program ini

TADA juga berkeinginan untuk mengetahui risiko dalam target lainnya yang dapat berdampak pada TADA baik secara langsung maupun tidak langsung (misalkan melalui 3rd party apps). Untuk itu apabila researcher menemukan sebuah target baru diluar dari daftar yang tertulis diatas maka harap menghubungi tim RedStorm melalui email

[email protected]

dengan memberitahukan/mendaftarkan target tersebut untuk mendapatkan persetujuan/ijin dari pemilik program.

Uji penetrasi dilakukan secara black box dan tidak akan diberikan akses melebihi apa yang sudah dimiliki oleh para Bug Bounty Hunters saat ini sebagai peneliti keamanan (security researcher) yang sudah terdaftar. Untuk memastikan bahwa IP pentester tidak akan terblokir, sangat disarankan sebelum memulai testing agar mendaftarkan IP yang digunakan melalui Link dibawah ini:

https://www.redstorm.io/researcher/regip
atau email ke
[email protected]

ATURAN MAIN

Perlaporan harus melalui fitur ‘Kirim Laporan‘ pada aplikasi web RedStorm dengan menyertakan bukti serta cara melakukan eksploitasi.
Tingkat risiko dari temuan dapat dipilih dan dipertimbangkan oleh peneliti dengan ketentuan:

  • P1 - Kritikal
  • P2 - Tinggi
  • P3 - Sedang
  • P4 - Rendah
  • P5 - Bersifat Informasi/Lainnya

Poin yang akan diberikan secara sistem adalah:

  • P1 - 100
  • P2 - 50
  • P3 - 20
  • P4 - 10
  • P5 - 5

Hadiah/reward yang akan diberikan tergantung dari pertimbangan risiko keamanan mengikuti skema berikut:

  • P1 - Rp2.000.000 (+Poin)
  • P2 - Rp1.000.000 (+Poin)
  • P3 - Rp500.000 (+Poin)
  • P4 - Poin
  • P5 - Poin
    UPDATE 08/01/2021 15:15: Reward untuk P1 telah di naikan.

PANDUAN PERILAKU

RedStorm ingin menciptakan lingkungan usaha yang aman serta menjunjung tinggi etika profesionalisme.
Untuk itu, terdapat tiga aspek utama yang perlu diperhatikan oleh setiap peneliti keamanan yang berpartisipasi dalam program pada platform kami:

  • KERAHASIAAN (CONFIDENTIALITY) — Semua kerentanan keamanan yang dilaporkan tidak boleh bocor ke ruang publik.
  • INTEGRITAS (INTEGRITY) — Hanya melaporkan permasalahan keamanan yang dianggap valid dan tidak menggunakan temuan kerentanan keamanan tersebut untuk tujuan merusak. Apabila terdapat lebih dari 1 laporan mengenai permasalahan keamanan yang sama, maka yang pertama melaporkan yang akan dianggap valid.
  • PROFESIONALISME (PROFESSIONALISM) — Peneliti keamanan bertanggung jawab penuh atas temuan yang dilaporkan dan harus dapat dihubungi apabila diperlukan informasi penjelas atau pelengkap lainnya.

KRITERIA LAPORAN YANG DITERIMA

Proses Pengiriman
Jika Anda yakin telah menemukan kerentanan keamanan (security vulnerability), silakan mengajukan laporan untuk program terkait melalui platform RedStorm.
Setiap pengiriman laporan kerentanan keamanan akan diperlakukan dengan prioritas tinggi, termasuk ketika laporan divalidasi, ketika kami membutuhkan lebih banyak informasi dari Anda, atau ketika Anda memenuhi syarat untuk mendapatkan hadiah.

Setiap pengiriman dievaluasi oleh kami atas dasar first-in first-served.

Peraturan Dasar
RedStorm berkomitmen untuk melindungi kepentingan para peneliti keamanan.
Semakin perilaku Anda mengikuti aturan ini, semakin kami dapat melindungi Anda jika terjadi situasi pengungkapan yang tidak mudah.

Setiap program dapat memiliki peraturan yang bervariasi.
Harap baca dengan cermat Ringkasan Program untuk peraturan khusus, jika ada.
Hanya saja, sejumlah peraturan berikut ini berlaku untuk semua program:

  • Penelitian harus dilakukan hanya pada sistem yang terdaftar di bawah bagian ‘Pengarahan‘ pada Program Brief. Sistem selain itu adalah di luar ruang lingkup.
  • Kecuali jika dinyatakan lain dalam Ringkasan Program, Anda harus membuat akun pengujian untuk tujuan penelitian.
  • Pengajuan harus dilakukan secara EKSKLUSIF melalui RedStorm untuk dapat dipertimbangkan sebagai hadiah.
  • Komunikasi terkait pengiriman harus tetap berada dalam RedStorm atau saluran dukungan RedStorm resmi selama proses pengungkapan (disclosure).
  • Tindakan yang mempengaruhi integritas atau mengganggu stabilitas target program adalah dilarang. Jika Anda melihat penurunan kinerja pada sistem target, Anda harus segera menangguhkan semua penggunaan alat otomatis.
  • Pengajuan harus berdampak pada postur keamanan target. Dampak berarti masalah yang dilaporkan mempengaruhi pengguna target, sistem, atau keamanan data dengan cara yang berarti. Pengirim dapat diminta untuk merahasiakan dampak agar memenuhi syarat untuk mendapatkan hadiah.
  • Pengajuan dapat ditutup jika peneliti tidak responsif terhadap permintaan informasi tambahan setelah 7 hari kerja.
  • Keberadaan atau perincian program bersifat pribadi atau undangan tidak boleh dikomunikasikan kepada siapa pun yang bukan karyawan RedStorm atau karyawan yang berwenang dari organisasi yang bertanggung jawab atas program tersebut.
  • Kami mendorong para peneliti untuk menyertakan video atau screenshot (proof-of-concept) dalam pelaporan kerentanan keamanan. Semua file ini tidak boleh dibagikan secara publik. Ini termasuk mengunggah ke situs web apa pun yang dapat diakses publik (seperti Vimeo, Imgur, dll.). Jika file melebihi 50 MB, unggahlah file tersebut ke folder online yang aman seperti Dropbox dengan dilindungi oleh kata sandi (password).
  • Kebijakan Pengungkapan RedStorm berlaku untuk semua pengiriman yang dilakukan melalui platform RedStorm, termasuk untuk laporan temuan yang bersifat Duplicate, Out of Scope, dan Not Applicable. Pemilik program dapat memilih Kebijakan Pengungkapan, Pengungkapan Terkoordinasi, atau Pengungkapan Informasi Khusus untuk diterapkan pada ringkasan program mereka. Silakan lihat Kebijakan Pengungkapan Tambahan kami untuk detail tentang Kebijakan Pengungkapan Publik yang berbeda di RedStorm.
  • Jika seorang peneliti ingin mempertahankan hak pengungkapan untuk kerentanan yang berada di luar ruang lingkup cakupan suatu program, dia harus melaporkan masalah tersebut ke vendor terkait secara langsung. RedStorm dapat membantu peneliti dalam mengidentifikasi alamat email yang sesuai untuk dihubungi. Pemilik program didorong untuk memastikan bahwa cakupan program mereka telah mencakup semua komponen penting yang ingin mereka terima laporan kerentanannya.
  • Pelanggaran terhadap kebijakan pengungkapan yang dinyatakan oleh program dapat mengakibatkan tindakan penegakan sebagaimana diuraikan dalam Ketentuan Layanan RedStorm.

Pelanggaran terhadap peraturan ini dapat mengakibatkan pembatalan pengiriman dan penyitaan semua hadiah, baik untuk program yang saat ini berjalan maupun untuk masa mendatang di platform RedStorm.

Jenis Kiriman yang Dikecualikan
Beberapa jenis pengiriman dikecualikan karena mereka berbahaya untuk dinilai, atau karena mereka memiliki dampak keamanan yang rendah kepada pemilik program. Bagian ini berisi masalah yang tidak dapat diterima oleh RedStorm, yang akan segera ditandai sebagai tidak valid dan tidak mendapatkan hadiah.

  • Temuan dari pengujian fisik seperti akses kantor (misalnya pintu terbuka, tailgating).
  • Temuan yang berasal dari rekayasa sosial atau social engineering (misalnya phishing, vishing).
  • Temuan dari aplikasi atau sistem yang tidak terdaftar di bagian ‘Target’.
  • Bug fungsional, UI, dan UX serta kesalahan ejaan (typo).
  • Kerentanan denial-of-service (DoS ataupun DDoS) pada tingkat jaringan (network).
  • Jenis pengajuan umum yang tidak termasuk kualifikasi

Beberapa jenis pengajuan kami nilai tidak memenuhi syarat untuk hadiah karena mereka memiliki dampak keamanan yang rendah bagi pemilik program.
Di bawah ini adalah daftar masalah yang pada umumnya dilaporkan dan dapat direproduksi, tetapi tidak memenuhi syarat.
Kami sangat menyarankan Anda untuk tidak melaporkan masalah ini kecuali Anda dapat menunjukkan serangan yang dapat dilakukan disertai dengan dampak keamanan yang valid bagi pemilik program.

  • Pesan kesalahan deskriptif (misalnya stack traces, kesalahan aplikasi atau server).
  • Kode/halaman HTTP 404 atau kode/halaman non-200 HTTP lainnya.
  • Pengungkapan spanduk (banner disclosure) pada layanan umum.
  • Pengungkapan file publik atau direktori yang dikenal (misalkan Robots.txt).
  • Click-jacking dan masalah yang hanya dieksploitasi melaluinya.
  • CSRF pada formulir yang tersedia untuk pengguna anonim (misalnya formulir kontak).
  • Login/Logout CSRF.
  • Kehadiran aplikasi atau fungsi ‘pelengkap otomatis‘ atau ‘simpan sandi’ pada web browser.
  • Kurangnya flag Secure dan HttpOnly pada cookie.
  • Kurangnya speed bump keamanan saat meninggalkan situs web.
  • Captcha yang lemah atau mem-bypass captcha.
  • Enumerasi nama pengguna melalui pesan kesalahan halaman login.
  • Enumerasi nama pengguna melalui pesan ‘Lupa Kata Sandi‘.
  • Brute force pada halaman login atau pada halaman lupa kata sandi halaman serta mengakibatkan account lockout.
  • Opsi HTTP TRACE yang diaktifkan.
  • Serangan SSL seperti BEAST, BREACH, atau sekisar renegotiation vulnerability.
  • SSL forward secrecy.
  • SSL yang mendukung algoritma cipher suite tidak aman.
  • Header MIME-Sniffing atau X-Content-Type-Options.
  • HTTP security header yang tidak ditemukan.
  • Hasil pemindaian otomatis (automated scanning) menggunakan tool seperti vulnerability scanner (Nessus, nikto, Qualys, OpenVAS, Core Impact, Acunetix, Nexpose, SecureCheq, Retina, MBSA, HIAB, dan sebagainya) meskipun hasilnya mencantumkan potensi risiko keamanan.

IMBALAN PROGRAM

Anda akan memenuhi syarat untuk hadiah jika Anda adalah orang pertama yang melaporkan untuk masalah yang sebelumnya tidak diketahui DAN menyangkut kerentanan pada kode atau konfigurasi yang dapat berdampak pada perubahan kode, konfigurasi, atau data.
Pengiriman imbalan akan dilakukan berkala setiap sebulan sekali.

Reward

This program adheres to the RedStorm Vulnerability Rating Taxonomy for the prioritization/rating of findings. if relevant, the deviations from the VRT shoul be listed here in a markdown table:

P1 POINT REWARD 100 Rp5.000.000
P2 POINT REWARD 50 Rp1.000.000
P3 POINT REWARD 20 Rp500.000
P4 POINT REWARD 10 Rp0
P5 POINT REWARD 5 Rp0

Targets

In Scope
https://johndoebank.usetada.com/
Website
https://penguin.buyfrom.io/marugrpp
Website
Out of scope
Other than JohnDoe Bank
Other

39

Vulnerabilities rewarded
Latest hall of fame
Lee min ho
Rtwo Gatelie
Private account
Pass The Bug
Friends
Viraj Vaishnav
Satrya mahardhika
Private account
Romi Syuhada
Steven Julian
rifqi alfaridzi
Jimnyxxx
ANDRI
Bagas Rizki Gunardi
abay
muhammad yusup
Private account
Muhammad Ilham
Private account
Muhammad Bayu Juhri
Alvin Ferdiansyah
sivanesh kumar
Private account
Private account
Eka Syahwan
Mastur
Aden Bagja
Danang TA
Mochamad Arifin
Tommy Elco Geraldi
niocool
Caesar Evan Santoso
Muhammad Jufri
abejads
dani kharisma
Private account
enefid
Private account
Private account
Copyright © 2018 - RedStorm. All rights reserved.TermsPrivacyContact