BT Responsible Disclosure Policy

Introduction

This document contains a set of guidelines regarding the process of responsible disclosure which is defined in the ISO / IEC 29147 as a process through which vendors and vulnerability finders may work cooperatively in finding solutions that reduce the risks associated with a vulnerability. Additionally, this represents the commitment of Banca Transilvania to ensure the continuous improvement of security practices in order to safeguard our clients’ information. This policy is intended to provide security researchers guidelines regarding the assets and types of research that are considered in-scope and the vulnerability reporting process.

Given that the security researcher will comply with the following set of terms, Banca Transilvania will acknowledge that the vulnerability identification has been conducted in good faith and will not pursue any legal action.

Guidelines

Any testing or research must be performed against permitted systems without affecting the functionality of our services.
In accordance with the principle of responsible disclosure, the security researcher should establish communication with the designated point of contact and report any vulnerability that has been discovered.
If a vulnerability has been discovered, please refer to the Reporting a vulnerability section in order to find details on how to contact us.
Please allow our team a reasonable amount of time to respond to your report.
Once a vulnerability has been identified, the researcher should cease any activity that could lead to a compromise or could affect the integrity of Banca Transilvania’s services and systems.
After a vulnerability has been confirmed, we make a commitment towards fixing the issue within 60 days.

Scope

The following assets are covered by this policy:

All services within AS34184 and AS34358.

In-Scope Vulnerabilities

The following vulnerabilities fall under the scope of this policy:

Server Security Misconfiguration - Using Default Credentials, CAPTCHA Implementation Vulnerability, Unsafe File Upload, No Rate Limiting on Form, Misconfigured DNS that leads to High Impact Subdomain Takeover, etc.
Broken Authentication and Session Management - Authentication Bypass, Account Takeover, Second Factor Authentication (2FA) Bypass, etc.
Sensitive Data Exposure - Disclosure of Secrets For Publicly Accessible Assets like hardcoded passwords, sensitive data over unecrypted connection, etc.
Server-Side Injection - LFI, RFI, RCE, SQLi, XXE, etc.
Cross-Site Scripting - Stored, Reflected, DOM.
Denial of Service.

Out-of-Scope Testing Methods and Vulnerabilities

The following testing methods (i.e. types of research) and vulnerabilities do not fall under the scope of this policy:

Physical testing against Banca Transilvania's Facilities / Property.
Phishing (either of an employee or a client/user of Banca Transilvania’s services).
Email spoofing.
Email authentication best practices policies/configurations (DKIM, SPF records, etc.).
DDoS.
Lack of security headers (Strict-Transport-Security, X-Frame-Options, X-Webkit-CSP etc.).
Flaws affecting the users of out-of-date browsers and plugins.
A Man-in-the-Middle (MITM) attack proof of concept.
Self XSS.
Banner grabbing.
HTTP trace/options methods enabled.
CSRF with minimal impact (login, logout etc.).
Open redirects (POST or header based).
Clickjacking or other similar attack methods.
Disposable email addresses allowed during registration.
Lack of obfuscation.
Header injection without a demonstrable impact.
Lack of Secure and HTTPOnly cookie flags (critical systems may still be in scope).
Static content served over HTTP.
Weak password policies.
Username and account enumeration.

Reporting a Vulnerability

If you have discovered a vulnerability or you have any questions, please contact us at the following email address: cybersec@btrl.ro.

In order to ensure confidentiality and integrity, please use PGP key 0x6F077A29C359A429 for encrypting the communication. You can find our security.txt file at the following address:

Security file

Descarcă

Confidentiality Obligations

Could include but not limited to: customer-related information, financial or personally identifiable information, information related to the vulnerable assets.

The security researcher agrees that they will not disclose any of the above to a third party without Banca Transilvania’s agreement. Therefore, any potential vulnerability reports should be treated as confidential information.

Întreb BT este cel mai mare program online de educație financiară al Băncii Transilvania, cu peste 2.000 de întrebări și răspunsuri din banking.

Sugestii de căutare

Disclaimer

AI Search este un proiect pilot - în varianta beta - care folosește tehnologia GPT-4o pentru a simplifica procesul de căutare și înțelegere a produselor bancare.

AI Search este antrenat să răspundă unor întrebări care au legătură exclusiv cu produsele bancare oferite de BT, însă în anumite situații și în funcție de întrebările adresate, este posibil să răspundă și la întrebări generale. Raspunsurile oferite sunt generate automat si trebuie sa fie utilizate doar in scop informativ. Serviciul poate oferi uneori conținut inexact sau potențial ofensator, care nu reprezintă punctul de vedere al Bancii Transilvania. Sunteți singurul responsabil pentru utilizarea conținutului generat de acest serviciu în orice mod. Nu vă bazați pe acest serviciu pentru sfaturi financiare, juridice sau alte sfaturi profesionale si nu introduceți în acesta date cu caracter personal sau alte informații confidențiale.

Utilizarea AI Search presupune acceptarea Termenilor și condițiilor.

Accesul și utilizarea serviciului implică acceptarea fără rezerve a acestor termeni și condiții. Dacă nu sunteți de acord cu acestea, vă rugăm să nu utilizați acest serviciu. Prin acceptarea termenilor și condițiilor pentru a folosi acest serviciu furnizat algoritmic de un model de inteligență artificială, va asumați întreg riscul în ceea ce privește calitatea, siguranța și performanța acestui serviciu.

Banca Transilvania nu furnizează nicio garanție în legătură cu răspunsurile oferite de acest serviciu.

AI Search furnizează răspunsuri algoritmic și acestea pot conține uneori informații inexacte sau limbaj potențial ofensator. Aceste informații nu exprimă poziția Băncii Transilvania și nu pot angaja responsabilitatea Băncii pentru conținutul oferit.

AI Search nu oferă răspunsuri la întrebări personalizate, astfel încât prin utilizarea acestuia va obligați să nu furnizați și să nu introduceți în mesajele/întrebările transmise niciun fel de date cu caracter personal sau alte informații confidențiale. În cazul nerespectării acestei obligații, prin inserarea unor date personale/informații confidențiale în cadrul AI Search, va exprimați consimțământul pentru prelucrarea acestora în vederea oferirii serviciului (răspunsurilor la întrebările pe care le adresați), precum și pentru îmbunătățirea modelului algoritmic al robotului de către dezvoltatorul acestuia.

Orice informație furnizată de către utilizatori în timpul interacțiunii cu AI Search va fi tratată în mod confidențial, fiind dezvăluită doar unor destinatari care au dreptul și nevoia de a o cunoaște.

Conținutul oferit de AI Search are doar scop informativ.

Utilizatorii sunt responsabili pentru întrebările și mesajele adresate în cadrul utilizării AI Search. Orice abuz sau limbaj neadecvat poate duce la întreruperea interacțiunii.

AI Search nu oferă sfaturi financiare, juridice sau profesionale și nu înlocuiește consultarea unor experți umani sau profesioniști specializați în domeniul respectiv. Utilizatorii nu trebuie să se bazeze pe informațiile furnizate de către AI Search pentru luarea deciziilor.

Banca își rezervă dreptul de a întrerupe serviciul AI Search în orice moment, fără o notificare prealabilă.

Termenii și condițiile pot fi revizuite/ actualizate în orice moment.

Timp de așteptare ridicat!

Caută cu AI Search

BT Visual Help