Я собираюсь пройти телефонное собеседование на должность младшего разработчика программного обеспечения. Узнав больше о компании, я заметил, что их сайт был скомпрометирован или, проще говоря, взломан (хакер оставил недвусмысленную подпись).
Не обязательно очевидно, что нарушение безопасности произошло — нет мигающего красного баннера «взломано», который вы не можете пропустить — но после использования веб-сайта вы не можете это пропустить (некоторые ссылки ведут к подписи хакера).
Не знаю, стоит ли упоминать об этом во время интервью. Я боюсь, что если я этого не сделаю, то они могут подумать, что я на самом деле не смотрел их веб-сайт или, если я смотрел, у меня плохое представление о том, что происходит.
Если это хорошая идея, чтобы упомянуть об этом, как я должен это сделать? Если я просто скажу что-то вроде «Я знаю, что ваш сайт был скомпрометирован», я боюсь, что ситуация может быть неловкой, они могут сказать: «Да, и что теперь?», у них может сложиться впечатление, что я просто болтаю наугад. вещи, чтобы произвести на них впечатление.
Наконец, является ли это плохим признаком того, что они были взломаны, и, возможно, мне следует отказаться от работы, если мне ее предложат? Я ожидаю, что нарушения безопасности случаются, и вы не можете сделать здравый вывод, основываясь только на этом факте. Я бы поверил, что это больше о том, как они относятся к реальности взлома. Так что, возможно, мне следует спросить об их политике? Но разве это не неправильно?
РЕДАКТИРОВАТЬ
Что касается компании и профиля работы: они оба довольно полноценны.
Кроме того, чтобы добавить больше соображений, есть проблема компании-общественной пользы. Неинформирование их может представлять для них определенный рыночный риск, с другой стороны, возможно, общественность должна увидеть своими глазами, что они не могут защитить свой веб-сайт?
если я этого не сделаю, то они могут подумать, что я на самом деле не смотрел их веб-сайт или, если я смотрел, у меня плохое представление о том, что происходит.
Почему это? Разве они не смотрели на их сайте? Люди должны за ней присматривать? Я не думаю, что это так, но с точки зрения теории игр лучше всего не упоминать об этом вообще.
Вы не должны прямо говорить им, что они были изуродованы, потому что это паникерство, и вы потеряете лицо, если ошибетесь. Если вы абсолютно уверены, что это заслуживает их внимания, вы можете представить факты так, как вы их видите, и позволить им прийти к выводу, что они могли иметь нарушение.
Даже в этом случае вас могут обвинить в том, что вы хакер, или парень, который брал у вас интервью, может быть тем, кто в первую очередь создал сайт, и воспримет это как оскорбление.
Мой совет таков: ничего не говорите им во время интервью .
Вместо этого создайте анонимную учетную запись, при необходимости через Tor, и сообщите им об этом анонимно. Это ни в коем случае не должно вернуться к вам. Посмотрите статью в Википедии об ответственном раскрытии информации .
Удачи
Лично я бы сказал им в следующий раз, когда буду с ними разговаривать, желательно до интервью.
Если у вас есть контакт в компании, вы можете сообщить им, что у вас есть доказательства того, что их веб-сайт был взломан.
Ожидание интервью может быть расценено как отсутствие срочности.
Не говорите им об этом на собеседовании. Как бы они ни поступили, ничего хорошего из того, что их ошибка будет видна, не выйдет. Скажите им, только если и когда они наймут вас.
Потому что, если они не наймут тебя... зачем помогать им за свои деньги? Они платят людям за это (и они решили, что это не вы), так что пусть эти люди делают свою работу.
Если вы хотите быть «хорошим парнем», вы все равно можете отправить им электронное письмо после того, как они отвергли вас, и пусть их люди разберутся.
Зависит от того, с кем вы разговариваете, если вы разговариваете с каким-то нетехническим HR-специалистом, я, вероятно, не буду беспокоиться в этот момент, но когда вы разговариваете с каким-то техническим специалистом, который может понять проблему, я, вероятно, упомяну об этом. . Я бы скромно упомянул об этом (на случай, если я ошибаюсь) и убедился, что это было то, что я заметил во время обычного просмотра их веб-сайта, в основном. Дайте понять, что вы не пытаетесь хвастаться или хвастаться, а просто говорите об этом как о чем-то, что, по вашему мнению, им может быть интересно узнать.
Либо они узнают, что вы достаточно ответственны и компетентны в вопросах ИТ-безопасности.
Если они проигнорируют информацию, то вы знаете, что ОНИ не обладают ответственностью и компетентностью в области ИТ-безопасности, но не должны причинить вам большого вреда.
Если они обижаются или думают, что вы взломали сайт, нахуй их.
Лилиенталь
Учитель КШуанг
Натан Купер