Ontdek je een kwetsbaarheid, maak hier dan geen misbruik van door bijvoorbeeld:

• malware te plaatsen;

• gegevens in een systeem te kopiëren, wijzigen of verwijderen of een directory listing te maken;

• veranderingen aan te brengen in het systeem;

• herhaaldelijk toegang te verkrijgen tot het systeem of de toegang te delen met anderen;

• het systeem te gebruiken als toegangspoort naar andere systemen;

• gebruik te maken van het bruteforcen van toegang tot systemen;

• gebruik te maken van denial-of-service of social engineering.

Heb je een zwakke plek in een van onze ICT-systemen of websites gemeld? Dan behandelen wij jouw melding als volgt:

• Je ontvangt binnen één werkdag een ontvangstbevestiging van jouw melding.

• Wij reageren binnen vijf werkdagen op jouw melding. Onze reactie bevat een beoordeling van de melding en een verwachte datum voor een oplossing.

• Wij houden je als melder op de hoogte van de voortgang van het oplossen van het probleem.

• Wij behandelen jouw melding vertrouwelijk en we delen jouw persoonlijke gegevens niet zonder jouw toestemming met derden, tenzij we daartoe wettelijk of door een rechterlijke uitspraak verplicht zijn.

• Als dank voor elke melding van een ons nog onbekend beveiligingsprobleem, bieden wij de mogelijkheid om vermeld te worden in onze “Hall Of Fame”

Bekijk de Hall of Fame

Wij waarderen je inzet om ons te helpen onze systemen en processen veilig te houden. Vandaar dat wij in de meeste gevallen tot een passende vergoeding over gaan. De hoogte van de vergoeding wordt bepaald op basis van impact. Hiervoor hoeven wij geen verantwoording af te leggen en behouden te allen tijde het recht om de vergoeding en de hoogte volledig zelfstandig te bepalen.

Als je in aanmerking komt voor een beloning, hebben wij jouw persoonlijke gegevens nodig om de betaling uit te kunnen voeren. Een beloning wordt niet uitgekeerd als:

• Afzonderlijke partijen dezelfde kwetsbaarheid rapporteren. In dat geval komt enkel de eerste melder in aanmerking van een beloning

• Je woonachtig bent in een sanctieland

• De kwetsbaarheid al bij ons bekend is

• Er sprake is van misbruik of schending van dit beleid

Wij kennen geen beloning toe voor triviale of niet uit te buiten bugs. Hieronder een aantal voorbeelden van bekende kwetsbaarheden en geaccepteerde risico’s waarvoor geen beloning wordt uitbetaald.

• Kwetsbaarheden door gebruik te maken van gestolen informatie en credentials”

• Social Engineering

• Man-in-the-middle attack

• HTTP 404 codes/pagina’s of andere HTTP non-200 codes/pagina’s

• Fingerprinting/versie banner disclosure op algemene/publieke services

• Publiek toegankelijke bestanden en mappen met niet gevoelige informatie

• Clickjacking en gerelateerde kwetsbaarheden

• CSRF op formulieren die beschikbaar zijn zonder sessie (bijv. een contactformulier/inlogformulier)

• Cross-Site Request Forgery op uitlogfunctie

• Aanwezigheid van “autocomplete” of “save password” functionaliteit

• Ontbreken van “secure” / “HttpOnly” vlaggen op niet gevoelige cookies

• Zwakke of omzeiling CAPTCHA implementatie

• Bruteforce op “Vergeet Wachtwoord” pagina en account lockout niet afgedwongen

• OPTIONS Method staat aan

• Username / E-mail enumeratie door bruteforce pogingen via:

  • Login foutmeldingen

  • “Vergeet Wachtwoord” / Wachtwoord-foutmeldingen

• Ontbreken van HTTP Security Headers zoals:

  • Strict-Transport-Security

  • X-Frame-Options

  • X-XSS-Protection

  • X-Content-Type-Options

  • Content-Security-Policy, X-Content-Security-Policy, X-WebKit-CSP

• SSL-configuratie zwakheden:

  • SSL-aanvallen die niet van buitenaf zijn te misbruiken

  • SSL “Forward Secrecy” ontbreekt

  • SSL zwakke en onveilige cipher suites

• Missing HTTP Public Key Pinning (HPKP)

• SPF, DKIM, DMARC issues

• Host Header Injection

• Content Spoofing / Text Injection op 404 pagina’s

• Het rapporteren van oude softwareversies zonder een proof of concept of werkende exploit

• Het lekken van informatie in Metadata

• Het missen van DNSSEC

• Verlopen of inactieve domeinen (domain takeover)

• Same Site Scripting / localhost DNS record

• “Aanvallen op fysieke eigendommen en locaties”

• “Scanner output of scanner rapportages zonder een proof-of-concept dat laat zien dat kwetsbaarheden misbruikt kunnen worden”

• Kwetsbaarheden door gebruik te maken van gestolen informatie en credentials”