1. What and How to Test

This policy applies exclusively to the Bank's own systems. Third-party systems (e.g. cloud infrastructure and suppliers) are not covered. If in doubt, contact us before testing.

✔ Permitted  ✘ Prohibited

Testing of official versions of the Bank's mobile applications available in the App Store, Google Play, Huawei AppGallery, including their application programming interfaces (APIs).

Using standard non-destructive methods and tools for vulnerability identification (e.g., OWASP methodology, manual testing) of specific vulnerability types: XSS, SQL injection, CSRF, Broken Access Control, IDOR, SSRF and similar.
  •  affecting availability via any kind of attack on L3/L4/L7 layers (e.g. DoS/DDoS, password cracking),
  • social engineering (e.g. phishing, vishing),
  • copying/modifying/deleting customer data,
  • accessing, downloading, retaining or disclosing customer or confidential data beyond what is strictly necessary to demonstrate vulnerability,
  • establishing persistence, privilege escalation, lateral movement or maintaining access after vulnerability verification,
  • installing malware,
  • testing physical security of the Bank premises.

2. How to Report a Vulnerability

As soon as you discover the existence of a potential vulnerability or obtain the first proof of its exploitation (Proof of Concept), you are obliged to immediately terminate all testing, not to continue further investigation of the systems and to immediately report the vulnerability to the e-mail address of the CSIRT team of the Bank (see file security.txt on the Bank's website). Other communication channels for reporting of vulnerabilities are prohibited.

The report should include:

  • Affected system (URL or application name) and vulnerability type.
  • Description and steps to reproduce (Proof of Concept), tools used and estimated impact.
  • Your contact details (anonymous reports are accepted but limit two-way communication).
  • We recommend encrypting the message using the CSIRT team's PGP key (link available in security.txt file).

3. Our Commitments

Acknowledgement  Within 8 business days of receiving the report.
Assessment Within 30 business days – classification result (CVSS).
Remediation  Without undue delay, within timeframes corresponding classification (CVSS).
Safe Harbor  If conditions are met according to the version of CVD policy in effect on the date the vulnerability was reported, Researcher acts in good faith and complies with applicable law: no civil claims, no criminal complaint filed.
Recognition  For high and critical findings (CVSS >= 7.0): personal recognition as part of communication regarding remediation. No financial rewards (bug bounty) are offered.

4. Information Embargo and Coordinator

From the moment of discovery until the vulnerability is remediated, you are obliged to maintain confidentiality – do not share information about the vulnerability with third parties. If you discover personal data while investigating vulnerability, you are required to retain it only for as long as is strictly necessary to demonstrate existence of vulnerability. If you do not receive a response from us within defined timeframes or are unsatisfied with the progress, you can contact the CVD Coordinator – Government CERT NÚKIB: [email protected].

 

 -----------------------------------------------


Politika koordinovaného zveřejňování zranitelností (CVD)

Raiffeisenbank a.s. (dále “Banka“) vítá zodpovědné hlášení bezpečnostních zranitelností ze strany odborné veřejnosti. Tato politika stanovuje podmínky, za nichž mohou bezpečnostní výzkumníci (dále „Objevitelé") vyhledávat zranitelnosti v našich systémech, a zaručuje jim odpovídající právní ochranu (bezpečný přístav), pokud dodržují níže uvedená pravidla.

1. Co a jak testovat

Tato politika se vztahuje výhradně na systémy Banky. Systémy třetích stran (např. cloudová infrastruktura, dodavatelé) nejsou do politiky zahrnuty. V případě pochybností nás prosím kontaktujte předem.

✔ Povoleno  ✘ Zakázáno

Testování oficiálních verzí mobilních aplikací Banky dostupných v obchodech App Store Google Play, Huawei AppGallery, a to včetně jejich aplikačních programových rozhraní (API).

Používání standardních nedestruktivních metod a nástrojů pro identifikaci zranitelností (např. metodika OWASP, manuální testování) specifického typu: XSS, SQL injection, CSRF, Broken Access Control, IDOR, SSRF a podobné. • Narušení dostupnosti jakýmikoliv útoky na úrovni L3/L4/L7 vrstev (např. DoS/DDoS, password cracking),
  • sociální inženýrství (např. phishing, vishing),
  • kopírování/změna/mazání dat zákazníků,
  • přístup, stahování, uchovávání nebo zveřejňování zákaznických či důvěrných dat nad rámec toho, co je nezbytně nutné k prokázání zranitelnosti,
  • zajištění trvalé přítomnosti, eskalace privilegií, laterálního přesunu nebo udržování přístupu po ověření zranitelnosti,
  • instalace malware,
  • testování fyzické bezpečnosti prostor Banky

2. Jak zranitelnost nahlásit

Jakmile zjistíte existenci potenciální zranitelnosti nebo získáte první důkaz o jejím zneužití (Proof of Concept), jste povinni okamžitě ukončit veškeré testování, nepokračovat v dalším zkoumání systémů a zranitelnost neprodleně nahlásit na e-mailovou adresu CSIRT týmu banky (viz soubor security.txt na webu Banky). Jiné komunikační kanály pro hlášení zranitelností jsou zakázány.

Hlášení by mělo obsahovat:

  • Dotčený systém (URL nebo název aplikace) a typ zranitelnosti.
  • Popis a kroky k reprodukci (Proof of Concept), použité nástroje a odhadovaný dopad.Vaše kontaktní údaje (anonymní hlášení je možné, ale omezuje zpětnou komunikaci).
  • Zprávu doporučujeme šifrovat PGP klíčem CSIRT týmu (odkaz dostupný v souboru security.txt).

3. Co vám zaručujeme

Potvrzení přijetí  Do 8 dní od obdržení hlášení.
Vyhodnocení  Do 30 pracovních dní – výsledek klasifikace (CVSS).
Náprava Bez zbytečného odkladu v časových lhůtách odpovídajících klasifikaci (CVSS).
Bezpečný přístav 

Při dodržení podmínek: žádné soukromoprávní nároky, nepodáváme trestní oznámení.

Pokud jsou splněny podmínky podle verze CVD politiky platné k datu nahlášení zranitelnosti, Objevitel jedná v dobré víře a dodržuje platné zákony: žádné občanskoprávní nároky, žádná trestní oznámení.
Uznání  Za závažné nálezy (CVSS ≥ 7,0): soukromé uznání jako součást komunikace o nápravě. Finanční odměny (bug bounty) neposkytujeme.

4. Informační embargo a koordinátor

Od nalezení zranitelnosti až do jejího opravení platí povinnost mlčenlivosti – nesdílejte informace o zranitelnosti s třetími stranami. Pokud při prozkoumávání zranitelnosti objevíte osobní údaje, musíte je uchovávat pouze tak dlouho, dokud je to nezbytně nutné k prokázání existence zranitelnosti. Pokud od nás nedostanete odpověď v definovaných lhůtách nebo nejste spokojeni s průběhem řešení, pak můžete kontaktovat Koordinátora CVD – vládní CERT NÚKIB: [email protected].