Amartha Bug Bounty Program
Program Bug Bounty resmi Amartha mengundang para peneliti keamanan untuk membantu mengidentifikasi dan melaporkan kerentanan keamanan secara bertanggung jawab. Bersama-sama, kita menjaga keamanan platform keuangan yang melayani jutaan masyarakat di Indonesia.
REWARD CARD
TENTANG PROGRAM
PT. Amartha Mikro Fintek (Amartha)
Amartha adalah perusahaan teknologi yang membangun infrastruktur keuangan digital untuk ekonomi akar rumput.
Berdiri sejak 2010, Amartha menghubungkan komunitas akar rumput dengan ekonomi digital yang terus bertumbuh melalui layanan pendanaan, funding, dan pembayaran.
Amartha mengundang security researcher, ethical hacker, dan profesional keamanan untuk membantu memperkuat pertahanan cybersecurity kami dengan menemukan kerentanan keamanan, sehingga kami dapat terus mengamankan dan meningkatkan aplikasi kami, serta mencegah eksploitasi oleh pihak yang tidak bertanggung jawab.
Amartha adalah perusahaan teknologi yang membangun infrastruktur keuangan digital untuk ekonomi akar rumput.
Berdiri sejak 2010, Amartha menghubungkan komunitas akar rumput dengan ekonomi digital yang terus bertumbuh melalui layanan pendanaan, funding, dan pembayaran.
Amartha mengundang security researcher, ethical hacker, dan profesional keamanan untuk membantu memperkuat pertahanan cybersecurity kami dengan menemukan kerentanan keamanan, sehingga kami dapat terus mengamankan dan meningkatkan aplikasi kami, serta mencegah eksploitasi oleh pihak yang tidak bertanggung jawab.
Target & Scope
Aset apa pun yang tidak disebutkan secara eksplisit sebagai in-scope di bawah ini dianggap out of scope secara default — termasuk subdomain, environment staging/internal, atau layanan pihak ketiga yang terhubung dengan Amartha.
1
In Scope:
- AmarthaFin — Android
- AmarthaFin — iOS
- Website (amartha.com)
- Seluruh fitur/menu yang tersedia di dalam AmarthaFin masuk in-scope. Testing wajib menggunakan versi aplikasi paling baru
2
Out of Scope:
Apa pun di luar tiga target in-scope di atas dianggap out of scope secara default — termasuk namun tidak terbatas pada subdomain lain, environment staging/internal/development, serta layanan atau integrasi pihak ketiga yang terhubung dengan Amartha.
Perhatikan aturan berikut agar temuan Anda memenuhi syarat untuk direward.
1
Anda harus menjadi yang pertama melaporkan suatu temuan/kerentanan. Jika ada duplikasi, hanya laporan pertama yang berhak atas reward.
2
Jika laporan tidak memiliki detail yang cukup untuk mereproduksi isu, laporan tidak akan memenuhi syarat reward. Semakin detail informasi yang diberikan, semakin cepat kami bisa triage dan remediasi.
3
Secrets/keys yang bocor tidak otomatis dianggap sebagai temuan valid — Anda harus menyertakan proof-of-concept terdokumentasi dan bukti dampak nyata (impacted service, potensi kebocoran data, atau dampak bisnis lain).
4
Beberapa kerentanan yang disebabkan oleh satu root cause yang sama akan dihitung sebagai satu reward.
5
Temuan yang bersifat chaining (menggabungkan beberapa kerentanan kecil menjadi satu exploit) dihitung sebagai satu temuan, dengan severity tertinggi dari rangkaian chain tersebut yang dipakai untuk menentukan reward.
6
Reproduksi harus dapat dilakukan ulang dari sisi publik — tanpa memerlukan akses internal, kredensial khusus, atau akses backend yang tidak tersedia bagi pengguna/attacker eksternal.
7
Kerentanan harus termasuk kategori qualifying vulnerability (lihat di bawah) — kerentanan non-qualifying tidak akan direward.
* Report Anda harus menyertakan:
- Deskripsi tekstual yang jelas mengenai temuan, termasuk detail kerentanan dan potensi impact jika dieksploitasi
- Langkah Proof of Concept (PoC) untuk mereproduksi temuan
- Lampiran yang diperlukan seperti screenshot atau kode PoC
- Informasi pendukung lain yang relevan
- Outgoing network traffic ke data broker
- Remote Code Execution (RCE)
- Horizontal & vertical privilege escalation
- Insecure Direct Object References (IDOR)
- Business logic vulnerability dengan real security impact
- Cross-Site Scripting (XSS)
- Code injection (SQL, PHP, dll.)
- Local file access & path manipulation (LFI, RFI, XXE, SSRF, XSPA)
- Broken authentication & session management
- Broken cryptographic implementation dengan working exploit
- CORS misconfiguration dengan real security impact
- Flaw hipotetis atau best-practice tanpa PoC yang exploitable
- Laporan dari automated scanner yang belum divalidasi manual
- Klaim software outdated/vulnerable tanpa PoC
- Open port tanpa PoC yang menunjukkan dampak nyata
- Exposed login/admin panel tanpa bukti real-world impact
- Isu yang hanya berdampak pada device/browser/platform usang
- Kerentanan yang sudah dipublikasikan secara umum (recently disclosed)
- Non-sensitive info disclosure (stack trace, path disclosure, directory listing, versi software)
- Isu yang membutuhkan akses fisik ke device/email pengguna
- Social engineering & credential stuffing, kecuali disertai bukti konkret (PoC, log request, screenshot/recording) yang menunjukkan dampak nyata dan dapat direproduksi
- Brute force yang tidak bisa didemonstrasikan dalam waktu wajar
- Enumeration/account oracle sederhana
- Weak password policy & SSL/TLS best practices
- 'HTTP Host Header' XSS / 'Self' XSS, text/HTML injection
- CSRF pada logout & CSRF severity rendah lainnya
- Open redirect yang tidak chained, CSV injection
- Clickjacking/UI redressing, missing security header tanpa impact langsung
- Missing autocomplete/cookie flag, mixed content, protocol mismatch
- RTLO, homograph attack, DoS (kecuali dari logical flaw)
- Rate limiting tanpa security impact, SPF/DKIM/DMARC issue
- Crash aplikasi milik Anda sendiri
- Lack of SSL pinning/binary protection/jailbreak & root detection
- Kerentanan generik Android/iOS, exploit hanya di versi OS lama atau device jailbroken/rooted
Rewards
Laporan yang tervalidasi dan diterima akan mendapatkan reward sesuai severity yang ditentukan. Rating ditentukan berdasarkan kombinasi CVSS v4.0 base score dan business risk terkait.
| Severity | Rewards |
|---|---|
| 9.0 – 10.0 Critical | Saldo Poket (AmarthaFin) sebesar Rp 3.000.000 + Sertifikat Apresiasi |
| 7.0 – 8.9 High | Saldo Poket (AmarthaFin) sebesar Rp 1.500.000 + Sertifikat Apresiasi |
| 4.0 – 6.9 Medium | Saldo Poket (AmarthaFin) sebesar Rp 500.000 + Sertifikat Apresiasi |
| 0.1 – 3.9 Low | Sertifikat Apresiasi |
| 0.0 None | Tidak Ada Hadiah |
* Reward Critical, High, dan Medium dicairkan dalam bentuk top-up Saldo Poket (AmarthaFin) ke akun yang terdaftar dengan email/nomor HP yang Anda cantumkan pada form laporan — pastikan email/nomor HP tersebut sudah terintegrasi dengan akun AmarthaFin Anda.
PII / SPI Data
Klasifikasi mengikuti UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) serta best practice industri jasa keuangan. Semakin sensitif kategori data yang terekspos, semakin tinggi severity yang diberikan.
Data Pribadi Umum:
• Nama lengkap
• Jenis kelamin
• Kewarganegaraan
• Status perkawinan
• Kombinasi data yang dapat mengidentifikasi seseorang secara langsung (misal: alamat + tanggal lahir)
Data Pribadi Spesifik (proteksi lebih tinggi — Pasal 4(2) UU PDP):
• NIK / nomor KTP & nomor KK
• Data biometrik (foto KTP, selfie/liveness verification, sidik jari)
• Data keuangan pribadi (saldo, riwayat transaksi, jumlah/status pinjaman, skor kredit)
• Nomor rekening bank & nomor kartu debit/kredit
• Data kesehatan & data anak (bila relevan, misal untuk klaim asuransi mikro/tanggungan)
• Catatan kejahatan/hukum
Identifier tambahan (KYC / finance industry best practice):
• NPWP
• Nomor Paspor
• Nomor Telepon
• Alamat Email
• Tempat & Tanggal Lahir
• Nama Ibu Kandung
• Kredensial otentikasi (password, PIN, OTP, session token, API key)
Data Pribadi Umum:
• Nama lengkap
• Jenis kelamin
• Kewarganegaraan
• Status perkawinan
• Kombinasi data yang dapat mengidentifikasi seseorang secara langsung (misal: alamat + tanggal lahir)
Data Pribadi Spesifik (proteksi lebih tinggi — Pasal 4(2) UU PDP):
• NIK / nomor KTP & nomor KK
• Data biometrik (foto KTP, selfie/liveness verification, sidik jari)
• Data keuangan pribadi (saldo, riwayat transaksi, jumlah/status pinjaman, skor kredit)
• Nomor rekening bank & nomor kartu debit/kredit
• Data kesehatan & data anak (bila relevan, misal untuk klaim asuransi mikro/tanggungan)
• Catatan kejahatan/hukum
Identifier tambahan (KYC / finance industry best practice):
• NPWP
• Nomor Paspor
• Nomor Telepon
• Alamat Email
• Tempat & Tanggal Lahir
• Nama Ibu Kandung
• Kredensial otentikasi (password, PIN, OTP, session token, API key)
aLaporkan Temuan Keamanan
Laporkan temuan Anda melalui formulir resmi di bawah ini. Sertakan deskripsi, Proof of Concept (PoC), tingkat keparahan (severity), dan lampiran pendukung sesuai panduan di atas.
Hall of Fame
Security researcher yang temuannya telah tervalidasi dan diterima melalui program ini. Ditampilkan berdasarkan nama/handle dan severity yang ditemukan.
Timotius Benhur
@uzet1337
Alvin Ferdiansyah
@vibonacci
Chiron
@chiron
Pass The Bug
@passthebug
Nayya Pradana
@gegezy
Fadilah Agung Nugraha
@pengelana
Rafi Andhika Galuh
@rafipiun
Rohmat Ario W
@ariotube
rivi
@bugbounty
Emiliano Jossie
@anyujin
* Data di-migrasikan dari histori program bug bounty sebelumnya (temuan dengan status Resolved).
Hall of Fame akan terus diperbarui secara berkala untuk temuan baru.