セキュリティ脆弱性を報告
Ry.hk のウェブサイト、アカウント、決済フロー、インフラに脆弱性があると思われる場合は、再現と評価に必要な情報をお送りください。調査中は詳細を公開しないでください。
調査と回答に合理的な時間を確保できるまで、悪用方法や顧客データを公開しないでください。
報告対象
- 認証、認可、アカウント乗っ取り、決済回避の問題。
- 顧客、注文、請求書、個人データの漏えい。
- コード実行、インジェクション、SSRF、パストラバーサル、安全でないファイル処理。
- Ry.hk を装ったフィッシングや悪意のあるコンテンツ。
調査に必要な情報
無関係な操作が多い長い動画より、明確で最小限の再現手順が役立ちます。
- 影響を受ける URL、機能、アカウント種別。
- 再現手順と実際に観測した結果。
- セキュリティ上の影響と確認済みの前提条件。
- 時刻、リクエスト ID、伏せ字にした画面、検証に役立つログ。
その後の流れ
01受付影響を受けるシステムの担当チームに報告を転送します。
02評価範囲、再現性、重大度を確認します。追加の質問をする場合があります。
03修正必要に応じて問題を封じ込め、恒久的な修正を準備します。
04公開調整公開を伴う場合は、責任ある開示の時期を調整します。
脆弱性報告の質問
セキュリティ報告は秘密にされますか？
調査と修正に必要な担当者だけが閲覧します。適切な評価と開示調整ができるまで、攻撃詳細や顧客データを公開しないでください。
バグバウンティはありますか？
現在、すべての報告に対する公開プログラムや金銭報酬は約束していません。影響と有効性を評価し、事前の書面合意がなければ報酬は発生しません。
テストで避けるべきことは？
他人のデータへのアクセス、破壊的または高負荷なテスト、パスワード・秘密鍵・未加工の個人情報の送信は避けてください。最小限の再現と秘匿化した証拠で十分です。