Skip to content

Itaú Unibanco

Vulnerability disclosure program on HackerOne itau.com.br

Accepting reports Full safe harbor
Top reward
No cash rewards
Top severity paid
Critical
Assets in scope
137
Public CVEs
0
Last change

At a glance

What to know before you start testing.

No cash rewards
A disclosure program: you report for credit, not money.
Report on HackerOne
Submit through the program page.
Full safe harbor
Good-faith research is authorised; no legal action.
Replies within 2 days
As the policy promises.
No public write-ups
Keep findings private.

Rewards

What HackerOne lists as the payout for each severity.

This program does not pay cash rewards.

Pays cash
No o Itaú Unibanco não possui um programa público de bug bounty, nem realiza compensação monetária, ou qualquer outro tipo de recompensa pelas vulnerabilidades submetidas por meio deste canal.
Response
Within 2 days Primeira Resposta | 2 dias
Safe harbor
Full o Itaú Unibanco concorda em não tomar ações legais e/ou outras medidas cabíveis contra o pesquisador, em linha com o "Safe Harbor" da HackerOne.

Summarised with AI from the program policy on HackerOne, read 12 Nov 2026, and checked word for word against it. Read the original

Scope

137 assets you may test.

Web 106

  • afapitau.com.uy Critical No bounty
  • afapitau.uy Critical No bounty
  • apptc.itau.co Critical No bounty
  • bancofiat.com.br Low No bounty
  • banco.itau.co Critical No bounty
  • bancoitau.com.br Low No bounty
  • bankline.com.br Medium No bounty
  • bfb.com.br Low No bounty
  • cloud.clienteitau.co Critical No bounty
  • comercial.itauseguros.co Critical No bounty
  • contacto.itau.co Critical No bounty
  • credicard.com.br Medium No bounty
  • credicardhall.com.br Low No bounty
  • credipronto.com.br High No bounty
  • credlineitau.com.br Critical No bounty
  • debitosoca.oca.com.uy High No bounty
  • escrevendoofuturo.org.br Low No bounty
  • euleioparaumacrianca.com.br Low No bounty
  • funbep.com.br High No bounty
  • fundacaoitausocial.org.br High No bounty
  • fundacaoitauunibanco.com.br High No bounty
  • fundacaosaudeitau.com.br High No bounty
  • garantiasempresas.itau.co Critical No bounty
  • hipercard.com.br High No bounty
  • https://metraje.oca.com.uy High No bounty
  • https://micuentanuevo.oca.com.uy/trx/login Critical No bounty
  • https://ocablue.oca.com.uy High No bounty
  • https://ocablue.uy High No bounty
  • https://ocacomercios.oca.com.uy Critical No bounty
  • https://oca.uy High No bounty
  • https://prestamos.oca.com.uy/solicitud High No bounty
  • https://solicitatuoca.oca.com.uy/solicitud High No bounty
  • https://www.itau.com.br/empresas Critical No bounty
  • ibconsigweb.com.br Medium No bounty
  • ibeneficios.com.br Low No bounty
  • image.clienteitau.co Critical No bounty
  • imulherempreendedora.com.br Low No bounty
  • institutounibanco.org.br Medium No bounty
  • intrag.com.br High No bounty
  • investiremque.com.br Low No bounty
  • investshop.com.br Low No bounty
  • ion.itau Critical No bounty
  • issomudaomundo.com.br Low No bounty
  • itauassetmanagement.com.br Low No bounty
  • itauautoeresidencia.com.br Low No bounty
  • itaucard.com.br Medium No bounty
  • itaucartoes.com.br Medium No bounty
  • itau.com.br Critical No bounty
  • itaucorretora.com.br Critical No bounty
  • itaucorretorapro.com.br Low No bounty
  • itaucred.com.br Low No bounty
  • itaucultural.org.br High No bounty
  • itaucustodia.com.br Low No bounty
  • itauimobline.com.br Low No bounty
  • itauinstitucionais.com.br Low No bounty
  • itauinvestnet.com.br Low No bounty
  • itaupersonnalite.com.br Low No bounty
  • itauprivatebank.com.br Medium No bounty
  • itauri.com.br Low No bounty
  • itauseguros.co Critical No bounty
  • itausocial.org.br High No bounty
  • itautrade.com.br Low No bounty
  • itauunibancoclube.com.br High No bounty
  • itau-unibanco.com.br Critical No bounty
  • itauunibanco.com.br Low No bounty
  • itauuniclass.com.br Low No bounty
  • iti.itau Critical No bounty
  • itnow.com.br Low No bounty
  • itnowitau.com.br Medium No bounty
  • iupp.com.br Medium No bounty
  • jovemdefuturo.org.br High No bounty
  • kinea.com.br High No bounty
  • lau.itau.co Critical No bounty
  • lojadesegurositau.com.br Low No bounty
  • mta.clienteitau.co Critical No bounty
  • personnalite.com.br Medium No bounty
  • personnaliteinvestnet.com.br Low No bounty
  • personnaliteitau.com.br Medium No bounty
  • pibb.com.br Low No bounty
  • planosaudeitau.com.br Low No bounty
  • polo.org.br Low No bounty
  • portalinstitutounibanco.org.br Low No bounty
  • premioitauunicef.org.br Low No bounty
  • psrp.clienteitau.co Critical No bounty
  • redecard.com.br Medium No bounty
  • reservas.miitauviajes.co Critical No bounty
  • rumositaucultural.org.br Low No bounty
  • sarlaft.itauseguros.co Critical No bounty
  • seguros.itau.co Critical No bounty
  • soporte.itauseguros.co Critical No bounty
  • tarjetaregalo.oca.com.uy High No bounty
  • testing.itau.co Critical No bounty
  • testing-qa1.itau.co Critical No bounty
  • tracking.clienteitau.co Critical No bounty
  • ucprivado.unioncapital.com.uy High No bounty
  • unibanco.com.br Medium No bounty
  • uniclass.com.br Medium No bounty
  • userede.com.br Critical No bounty
  • useredepay.com.br Low No bounty
  • view.clienteitau.co Critical No bounty
  • ww2.itau.cl Critical No bounty
  • www.clienteitau.co Critical No bounty
  • www.itau.com.uy Critical No bounty
  • www.miitauviajes.co Critical No bounty
  • zona-i.itau.co Critical No bounty
  • zona-i-uat.itau.co Critical No bounty

Android apps 13

  • https://play.google.com/store/apps/details?id=com.credicard.app&hl=pt_BR&gl=US Critical No bounty
  • https://play.google.com/store/apps/details?id=com.hipercard.app&hl=en&gl=US Critical No bounty
  • https://play.google.com/store/apps/details?id=com.itaucard.activity&hl=pt_BR&gl=US Critical No bounty
  • https://play.google.com/store/apps/details?id=com.itau.empresas&hl=pt_BR&gl=US Critical No bounty
  • https://play.google.com/store/apps/details?id=com.itau&hl=pt_BR Critical No bounty
  • https://play.google.com/store/apps/details?id=com.itau.investimentos&hl=pt_BR&gl=US Critical No bounty
  • https://play.google.com/store/apps/details?id=com.itau.iti&hl=pt_BR&gl=US Critical No bounty
  • https://play.google.com/store/apps/details?id=com.itau.trader.mobile&hl=en&gl=US Critical No bounty
  • https://play.google.com/store/apps/details?id=com.odete.credicard&hl=pt_BR&gl=US Critical No bounty
  • https://play.google.com/store/apps/details?id=com.odete.playersbank&hl=en&gl=US Critical No bounty
  • https://play.google.com/store/apps/details?id=com.uy.itau.appile&pcampaignid=web_share Critical No bounty
  • https://play.google.com/store/apps/details?id=com.uy.itau.appitauuypf&pcampaignid=web_share Critical No bounty
  • https://play.google.com/store/apps/details?id=uy.com.itau.pagocuentas&pcampaignid=web_share Critical No bounty

iOS apps 13

  • https://apps.apple.com/br/app/banco-ita%C3%BA-conta-cart%C3%A3o-e/id474505665 Critical No bounty
  • https://apps.apple.com/br/app/%C3%ADon-ita%C3%BA-investimentos/id1531733746 Critical No bounty
  • https://apps.apple.com/br/app/credicard-cart%C3%A3o-de-cr%C3%A9dito/id928152601 Critical No bounty
  • https://apps.apple.com/br/app/credicard-on-cart%C3%A3o-de-cr%C3%A9dito/id1456157878 Critical No bounty
  • https://apps.apple.com/br/app/hipercard-cart%C3%A3o-de-cr%C3%A9dito/id1058898100 Critical No bounty
  • https://apps.apple.com/br/app/ita%C3%BA-cart%C3%B5es-de-cr%C3%A9dito/id394401915 Critical No bounty
  • https://apps.apple.com/br/app/ita%C3%BA-empresas-conta-mei-e-pj/id348274534 Critical No bounty
  • https://apps.apple.com/br/app/ita%C3%BA-trader/id1567279093 Critical No bounty
  • https://apps.apple.com/br/app/iti-banco-digital-gr%C3%A1tis/id1442872271 Critical No bounty
  • https://apps.apple.com/br/app/players-bank-conta-e-cart%C3%A3o/id1589488655 Critical No bounty
  • https://apps.apple.com/uy/app/itaú-empresas-uruguay/id1593750012 Critical No bounty
  • https://apps.apple.com/uy/app/itaú-pagos/id1139215807 Critical No bounty
  • https://apps.apple.com/uy/app/itaú-uy/id1065572083 Critical No bounty

Wildcard domains 5

  • *.itau Critical No bounty
  • *.itau.co Critical No bounty
  • *.itau.com.br Critical No bounty
  • *.itau.com.pa Critical No bounty
  • *.userede.com.br Critical No bounty

Rules

What the policy asks of you, and the bug types it won't reward, quoted from Itaú Unibanco (via HackerOne)'s policy.

While testing

  • Não realize nenhuma atividade que possa causar dano ao Itaú, aos nossos clientes ou aos nossos colaboradores;
  • Não realize nenhuma atividade que possa parar e/ou impactar os aplicativos, serviços ou ativos do Itaú;
  • Não utilize ferramentas de scan automático;
  • Não realize ataques de força bruta, derrubada de serviços ou comprometimento de contas;
  • Não armazene, compartilhe, comprometa ou destrua qualquer dado do Itaú Unibanco ou de qualquer um de seus clientes.
  • Não inicie qualquer transação financeira indevida;
  • Não solicite qualquer tipo de recompensa pela descoberta da vulnerabilidade potencial.
  • Forneça relatórios detalhados com etapas reproduzíveis.
  • Envie uma vulnerabilidade por relatório, a menos que você precise encadear vulnerabilidades para causar impacto.

Not accepted

  • Teste Físico
  • Engenharia social (por exemplo, tentativas de roubar cookies, páginas de login falsas para coletar credenciais)
  • Phishing
  • Ataques de negação de serviço
  • Ataques de exaustão de recursos
  • Ausência/Bypass de criptografia de payload
  • Mensagens de erro descritivas (por exemplo, Stack Traces, erros de aplicativo ou servidor)
  • Códigos / páginas HTTP 404 ou outros códigos / páginas HTTP diferentes de 200
  • Divulgação de banners em serviços comuns / públicos
  • Divulgação de arquivos ou diretórios públicos conhecidos (por exemplo, robots.txt)
  • Captura de tela (Foregroud ou backgroud)
  • Clickjacking e problemas que só podem ser explorados por meio de clickjacking
  • CSRF em formulários que estão disponíveis para usuários anônimos (por exemplo, o formulário de contato)
  • Logout Cross-Site Request Forgery (logout CSRF)
  • Presença da funcionalidade de 'preenchimento automático' ou 'salvar senha' do navegador da web ou aplicativo
  • Falta de sinalizadores de cookie seguro e HTTPOnly
  • Falta de Speedbump de Segurança ao sair do site
  • Desvio de Captcha / Captcha fraco
  • Enumeração de nome de usuário via mensagem de erro da página de login
  • Enumeração de nome de usuário via mensagem de erro “Esqueci minha senha”
  • Força bruta da página Login ou Esqueci a Senha e bloqueio de conta não aplicados
  • Método OPTIONS / TRACE HTTP ativado
  • Ataques SSL como BEAST, BREACH, ataque de renegociação
  • Sigilo de encaminhamento de SSL não habilitado
  • Conjuntos de criptografia SSL Insecure

Summarised with AI from the program policy on HackerOne, read 12 Nov 2026, and checked word for word against it. Read the original

Changes

Tracked since 11 Nov 2026. Last checked 57 minutes ago.

No changes yet. When the rewards or scope move, you will see it here and in the RSS feed.

Before we tracked it

Scope and reward changes recorded before this page started tracking it.

  1. Scope removed

    tiendanaranja.co

  2. Scope added

    bfb.com.br

  3. Scope added

    premioitauunicef.org.br

  4. Scope added

    bancoitau.com.br

  5. Scope added

    euleioparaumacrianca.com.br

  6. Scope added

    ibeneficios.com.br

  7. Scope added

    itaucustodia.com.br

  8. Scope added

    investiremque.com.br

  9. Scope added

    escrevendoofuturo.org.br

  10. Scope added

    issomudaomundo.com.br

  11. Scope added

    itauassetmanagement.com.br

  12. Scope added

    itauautoeresidencia.com.br

  13. Scope added

    itaucorretorapro.com.br

  14. Scope added

    itaucred.com.br

  15. Scope added

    imulherempreendedora.com.br

  16. Scope added

    itauimobline.com.br

  17. Scope added

    itauinstitucionais.com.br

  18. Scope added

    itauinvestnet.com.br

  19. Scope added

    investshop.com.br

  20. Scope added

    itauri.com.br

  21. Scope added

    itautrade.com.br

  22. Scope added

    itauunibanco.com.br

  23. Scope added

    itauuniclass.com.br

  24. Scope added

    itnow.com.br

  25. Scope added

    lojadesegurositau.com.br

  26. Scope added

    personnaliteinvestnet.com.br

  27. Scope added

    pibb.com.br

  28. Scope added

    planosaudeitau.com.br

  29. Scope added

    polo.org.br

  30. Scope added

    portalinstitutounibanco.org.br

  31. Scope added

    credicardhall.com.br

  32. Scope added

    rumositaucultural.org.br

  33. Scope added

    useredepay.com.br

  34. Scope added

    bankline.com.br

  35. Scope added

    credicard.com.br

  36. Scope added

    ibconsigweb.com.br

  37. Scope added

    institutounibanco.org.br

  38. Scope added

    bancofiat.com.br

  39. Scope added

    itaupersonnalite.com.br

  40. Scope added

    itaucard.com.br

Public CVEs

Published vulnerabilities in this vendor's products, from the NVD.

Search NVD

No CVEs matched yet. We match NVD records by vendor name, so products sold under another name can be missing.

Original policy

Copied from hackerone.com on 12 Nov 2026. The summaries on this page are made from it; the live page may have changed since.

Identificou algum ponto de melhoria em nossos sistemas?

Você é um pesquisador de segurança e descobriu vulnerabilidades em nossos sistemas? Então, gostaríamos de contar com a sua ajuda para corrigir essas vulnerabilidades.

A privacidade, a proteção de dados e a segurança da informação são temas prioritários para o Itaú. Investimos fortemente nas melhores tecnologias e adoção das práticas mais rigorosas do mercado para garantir a segurança, bem como a proteção da privacidade e dos dados dos nossos clientes.

Saiba como realizar uma divulgação responsável

Pesquisadores de segurança podem divulgar potenciais vulnerabilidades em nossos sistemas/aplicativos seguindo as diretrizes abaixo:

Diretrizes gerais da HackerOne: https://www.hackerone.com/disclosure-guidelines

  • Não realize nenhuma atividade que possa causar dano ao Itaú, aos nossos clientes ou aos nossos colaboradores;
  • Não realize nenhuma atividade que possa parar e/ou impactar os aplicativos, serviços ou ativos do Itaú;
  • Não realize nenhuma atividade que possa violar qualquer Lei Federal, Estadual ou Municipal, bem como, diretrizes, portarias ou demais manifestações de Autoridades Reguladoras;
  • Não utilize ferramentas de scan automático;
  • Você não deve agir de má-fé buscando realizar pedidos de resgate de dados (data hijacking);
  • Não realize ataques de força bruta, derrubada de serviços ou comprometimento de contas;
  • Não armazene, compartilhe, comprometa ou destrua qualquer dado do Itaú Unibanco ou de qualquer um de seus clientes. Se qualquer informação pessoalmente identificável for encontrada deve-se imediatamente parar as atividades, eliminar os dados de seu sistema e contatar imediatamente o Itaú Unibanco pelo e-mail [email protected];
  • Não inicie qualquer transação financeira indevida;
  • Não solicite qualquer tipo de recompensa pela descoberta da vulnerabilidade potencial.
  • Forneça relatórios detalhados com etapas reproduzíveis. Se o relatório não for detalhado o suficiente para reproduzir o problema, o time de triagem pode não conseguir seguir com a triagem de sua submissão.
  • Envie uma vulnerabilidade por relatório, a menos que você precise encadear vulnerabilidades para causar impacto.
  • Quando ocorrem duplicatas, fazemos a triagem apenas do primeiro relatório recebido (desde que ele possa ser totalmente reproduzido).
  • Várias vulnerabilidades causadas por um problema subjacente serão tratadas como um relatório válido.

Importante: Ao se submeter as regras do programa, você concorda em NÃO DIVULGAR (e/ou NÃO DISCUTIR) publicamente suas descobertas ou o conteúdo do seu envio a terceiros, de forma alguma, sem o EXPRESSO CONSENTIMENTO do Itaú Unibanco.

Solicitamos que todas as requisições realizadas às nossas aplicações durante suas atividades inclua o header X-VDP-H1 com o username na HackerOne no valor. * X-VDP-H1: username

Escopo

Os testes são autorizados apenas nos alvos listados no escopo. Qualquer domínio/propriedade/subdomínio/app do Itaú não listado nessa seção, está explicitamente, fora do escopo.

Importante: Observe que esses domínios podem empregar redirecionamentos para outros domínios que não estão no escopo de nosso programa. Por favor, tome cuidado para garantir que seu teste seja executado apenas em relação aos alvos listados nesta página como dentro do escopo.

Fora do escopo

Certas vulnerabilidades são consideradas fora do escopo de nosso Programa de Divulgação Responsável:

  • Teste Físico
  • Engenharia social (por exemplo, tentativas de roubar cookies, páginas de login falsas para coletar credenciais)
  • Phishing
  • Ataques de negação de serviço
  • Ataques de exaustão de recursos
  • Ausência/Bypass de criptografia de payload
  • Mensagens de erro descritivas (por exemplo, Stack Traces, erros de aplicativo ou servidor)
  • Códigos / páginas HTTP 404 ou outros códigos / páginas HTTP diferentes de 200
  • Divulgação de banners em serviços comuns / públicos
  • Divulgação de arquivos ou diretórios públicos conhecidos (por exemplo, robots.txt)
  • Captura de tela (Foregroud ou backgroud)
  • Clickjacking e problemas que só podem ser explorados por meio de clickjacking
  • CSRF em formulários que estão disponíveis para usuários anônimos (por exemplo, o formulário de contato)
  • Logout Cross-Site Request Forgery (logout CSRF)
  • Presença da funcionalidade de 'preenchimento automático' ou 'salvar senha' do navegador da web ou aplicativo
  • Falta de sinalizadores de cookie seguro e HTTPOnly
  • Falta de Speedbump de Segurança ao sair do site
  • Desvio de Captcha / Captcha fraco
  • Enumeração de nome de usuário via mensagem de erro da página de login
  • Enumeração de nome de usuário via mensagem de erro “Esqueci minha senha”
  • Força bruta da página Login ou Esqueci a Senha e bloqueio de conta não aplicados
  • Método OPTIONS / TRACE HTTP ativado
  • Ataques SSL como BEAST, BREACH, ataque de renegociação
  • Sigilo de encaminhamento de SSL não habilitado
  • Conjuntos de criptografia SSL Insecure
  • O cabeçalho Anti-MIME-Sniffing X-Content-Type-Options
  • Resiliência dos aplicativos compilados (anti-root, bypass de pinning, anti-tampering, detecção de emulador, anti-debugging, mutual TLS)
  • Cabeçalhos de segurança HTTP ausentes
  • Práticas recomendadas ausentes (políticas de segurança de conteúdo, tabnabbing, registros SPF/DKIM/DMARC de e-mail), a menos que um impacto significativo possa ser demonstrado.
  • Open redirect, a menos que um impacto significativo possa ser demonstrado.
  • Problemas que exigem uma interação improvável por parte da vítima.

Este canal de reporte não deverá ser utilizado para:

  • comentários sobre os serviços prestados pelo Itaú Unibanco
  • comentários ou perguntas sobre a acessibilidade dos nossos serviços
  • denúncias de fraude ou possível fraude
  • relatar problemas de ATM (a menos que relacionado à segurança)
  • relatar vírus e/ou malware
  • relatar credencias ou número de cartões vazados

Reporte de Fraudes e Phishing deve ser realizado pelos canais:

Submissão

A comunicação da melhoria deve ser realizada exclusivamente pelo canal da HackerOne. Uma vez a vulnerabilidade compartilhada, o Itaú se compromete com os seguintes tempos de resposta:

Tipo de resposta Tempo de resposta em dias úteis
Primeira Resposta 2 dias
Tempo para triagem 2 dias
Tempo para resolução depende da severidade e complexidade

Queremos obter o máximo de informações de quem relata a vulnerabilidade para que possamos validar e implantar qualquer potencial melhoria rapidamente.

Tente fornecer o máximo de informações possíveis, incluindo:

  • Uma descrição da vulnerabilidade, incluindo a capacidade de exploração e o impacto, se não um tipo de ataque comum;
  • Etapas necessárias para explorar a vulnerabilidade, incluindo:
  • URL(s) / aplicativo(s) afetado(s);
  • condições anteriores exigidas (por exemplo: conectado, não conectado);
  • como demonstrar o problema.
  • IPs usados quando a vulnerabilidade foi descoberta;
  • Se for pós-autenticação, o ID do usuário usado quando a vulnerabilidade foi descoberta;
  • Uma prova de conceito;
  • Nomes de quaisquer arquivos enviados para nossos sistemas.

Se você não incluir tudo nesta lista, isso pode atrasar ou nos impedir de validar e corrigir a vulnerabilidade. Respostas a questões de baixa relevância e/ou informativas terão sua prioridade retirada. Salve todos os seus registros, pois pediremos que você nos disponibilize.

Um itaú mais seguro

Agradecemos sua dedicação e parceria caso tenha feito um envio que tenha nos ajudado significativamente a manter nossos clientes cada vez mais protegidos. No entanto, o Itaú Unibanco não possui um programa público de bug bounty, nem realiza compensação monetária, ou qualquer outro tipo de recompensa pelas vulnerabilidades submetidas por meio deste canal.

Confidencialidade

Ao divulgar vulnerabilidades de forma responsável seguindo as diretrizes aqui dispostas e, desde que não seja verificada nenhuma incompatibilidade entre as ações do pesquisador de segurança e as legislações locais vigentes, o Itaú Unibanco concorda em não tomar ações legais e/ou outras medidas cabíveis contra o pesquisador, em linha com o "Safe Harbor" da HackerOne. Se uma ação legal for iniciada por um terceiro contra você em relação às atividades conduzidas de acordo com esta política, tomaremos medidas para tornar conhecido que suas ações foram conduzidas em conformidade com esta política.

Caso seja identificada alguma irregularidade neste sentido, o Itaú Unibanco poderá seguir com as medidas cabíveis. O Itaú Unibanco poderá tomar outras medidas legais no caso de não cumprimento dessas diretrizes.

Outras diretrizes podem ser obtidas em: https://hackerone.com/security/safe_harbor

Privacidade

Suas informações de contato serão usadas apenas para mantê-lo informado sobre o processo de divulgação de vulnerabilidades e não serão repassadas a terceiros sem sua permissão explícita.

Para proteger sua privacidade, nós não:

▪ Compartilharemos seu PII (Personally Identifiable Information, Informação Pessoal Identificável, em tradução livre) com terceiros;

▪ Compartilharemos sua pesquisa sem permissão.

No entanto, esse não é o caso se formos obrigados por lei a divulgar ou se transferirmos a investigação da vulnerabilidade relatada a um terceiro. Nestes casos, fazemos todo o possível para manter essas informações confidenciais e nos sentimos responsáveis por elas.

Em vigor a partir de 10 de dezembro de 2021.

Podemos alterar as regras para Divulgação Responsável de Vulnerabilidades de tempos em tempos, ou ainda, podemos cancelar nosso programa a qualquer momento.

Nossa segurança também é feita com você ;)