Техническое задание: Аудит безопасности FinTech-платформы

Контекст проблемы

Веб-приложение, работающее в финансовом секторе (FinTech), подвергается целенаправленным атакам. Злоумышленники нашли способ подменять API-ключи мерчантов, что приводит к несанкционированному пополнению баланса пользователей и финансовым потерям. Необходимо в срочном порядке обнаружить и описать уязвимость.

Цель работы

Провести анализ безопасности приложения и выявить конкретный вектор атаки, который используется для компрометации механизма аутентификации и авторизации мерчантов.

Основные задачи

• Проанализировать текущую архитектуру взаимодействия с API мерчантов.
• Исследовать возможные векторы атаки, связанные с подменой, утечкой или некорректной валидацией API-ключей.
• Локализовать и документально описать найденную уязвимость (например, IDOR, недостаточная проверка прав, уязвимость в бизнес-логике).
• Предоставить четкое техническое описание шагов, воспроизводящих проблему.
• Дать рекомендации по устранению уязвимости и усилению безопасности системы.

Требования к результату

• Подробный отчет с описанием уязвимости, включая Proof of Concept (PoC).
• Рекомендации по исправлению с приоритизацией по критичности.
• Конфиденциальность всей полученной в ходе аудита информации.