Divulgação Responsável de Vulnerabilidades

Pesquisadores de segurança podem divulgar potenciais vulnerabilidades em nossos sistemas/aplicativos seguindo as diretrizes abaixo:

- Não realize nenhuma atividade que possa causar dano ao Itaú, aos nossos clientes ou aos nossos colaboradores;

- Não realize nenhuma atividade que possa parar e/ou impactar os aplicativos, serviços ou ativos do Itaú;

- Não realize nenhuma atividade que possa violar qualquer Lei Federal, Estadual ou Municipal, bem como, diretrizes, portarias ou demais manifestações de Autoridades Reguladoras;

- Não utilize ferramentas de scan automático;

- Você não deve agir de má-fé buscando realizar pedidos de resgate de dados (data hijacking);

- Não realize ataques de força bruta, derrubada de serviços ou comprometimento de contas;

- Não armazene, compartilhe, comprometa ou destrua qualquer dado do Itaú Unibanco ou de qualquer um de seus clientes. Se qualquer informação pessoalmente identificável for encontrada deve-se imediatamente parar as atividades, eliminar os dados de seu sistema e contatar imediatamente o Itaú Unibanco pelo e-mail abuse@itau-unibanco.com.br;

- Não inicie qualquer transação financeira indevida;

- Não solicite qualquer tipo de recompensa pela descoberta da vulnerabilidade potencial.

Importante: Ao se submeter as regras do programa, você concorda em NÃO DIVULGAR (e/ou NÃO DISCUTIR) publicamente suas descobertas ou o conteúdo do seu envio a terceiros, de forma alguma, sem o EXPRESSO CONSENTIMENTO do Itaú Unibanco.

Todos os sites corporativos, locais e de marca que representam as operações do Itaú fora do Brasil, não deverão ser utilizados em testes para o programa.

Certas vulnerabilidades são consideradas fora do escopo de nosso Programa de Divulgação Responsável:

- Teste Físico

- Engenharia social (por exemplo, tentativas de roubar cookies, páginas de login falsas para coletar credenciais)

- Phishing

- Ataques de negação de serviço

- Ataques de exaustão de recursos

- Mensagens de erro descritivas (por exemplo, Stack Traces, erros de aplicativo ou servidor)

- Códigos / páginas HTTP 404 ou outros códigos / páginas HTTP diferentes de 200

- Divulgação de banners em serviços comuns / públicos

- Divulgação de arquivos ou diretórios públicos conhecidos (por exemplo, robots.txt)

- Clickjacking e problemas que só podem ser explorados por meio de clickjacking

- CSRF em formulários que estão disponíveis para usuários anônimos (por exemplo, o formulário de contato)

- Logout Cross-Site Request Forgery (logout CSRF)

- Presença da funcionalidade de 'preenchimento automático' ou 'salvar senha' do navegador da web ou aplicativo

- Falta de sinalizadores de cookie seguro e HTTPOnly

- Falta de Speedbump de Segurança ao sair do site

- Desvio de Captcha / Captcha fraco

- Enumeração de nome de usuário via mensagem de erro da página de login

- Enumeração de nome de usuário via mensagem de erro “Esqueci minha senha”

- Força bruta da página Login ou Esqueci a Senha e bloqueio de conta não aplicados

- Método OPTIONS / TRACE HTTP ativado

- Ataques SSL como BEAST, BREACH, ataque de renegociação

- Sigilo de encaminhamento de SSL não habilitado

- Conjuntos de criptografia SSL Insecure

- O cabeçalho Anti-MIME-Sniffing X-Content-Type-Options

- Cabeçalhos de segurança HTTP ausentes

Este canal de reporte não deverá ser utilizado para:

- comentários sobre os serviços prestados pelo Itaú Unibanco

- comentários ou perguntas sobre a acessibilidade dos nossos serviços

- denúncias de fraude ou possível fraude

- relatar problemas de ATM (a menos que relacionado à segurança)

- relatar vírus e/ou malware

Reporte de Fraudes e Phishing deve ser realizado pelos canais:

- SMS, páginas e e-mails falsos: emailsuspeito@itau-unibanco.com.br

- Demais golpes e fraudes: inspetoria@itau-unibanco.com.br

Importante: alguns domínios podem empregar redirecionamentos para outros domínios que não estão no escopo de nosso programa. Por favor, tome cuidado para garantir que seu teste seja executado apenas em relação aos alvos listados nesta página como dentro do escopo.

Agradecemos sua dedicação e parceria caso tenha feito um envio que tenha nos ajudado significativamente a manter nossos clientes cada vez mais protegidos. No entanto, o Itaú Unibanco não possui um programa público de bug bounty, nem realiza compensação monetária, ou qualquer outro tipo de recompensa pelas vulnerabilidades submetidas por meio deste canal.

Para mantê-lo informado sobre o tratamento da(s) vulnerabilidade(s) reportada(s), solicitamos suas informações de contato como nome e endereço de email, e, em alguns casos, número de telefone. Se a vulnerabilidade for relatada anonimamente, nós respeitaremos isso. As informações de contato serão usadas apenas para mantê-lo informado sobre o processo de divulgação de vulnerabilidades e não serão repassadas a terceiros sem sua permissão explícita.

Para proteger sua privacidade, nós não:

▪ Compartilharemos seu PII (Personally Identifiable Information, Informação Pessoal Identificável, em tradução livre) com terceiros;

▪ Compartilharemos sua pesquisa sem permissão.

No entanto, esse não é o caso se formos obrigados por lei a divulgar ou se transferirmos a investigação da vulnerabilidade relatada a um terceiro. Nestes

casos, fazemos todo o possível para manter essas informações confidenciais e nos sentimos responsáveis por elas.