Me contactó un grupo de hackers que encontraron un problema de seguridad en mi sitio. Me dieron toda la información que necesitaba para solucionar este problema y solicitaron ‘algo de vuelta por su ayuda’. ¿Cuánto pagarías por tal cosa?

Yo también soy un investigador de seguridad aficionado. He encontrado vulnerabilidades en los principales sitios como Yahoo, Adobe, Avast, por mencionar algunas.

Creo seriamente que los “piratas informáticos”, como usted dice, tienen buenas intenciones, ya que se pusieron en contacto con usted después de encontrar la vulnerabilidad. Sin embargo, encontrar errores en un sitio sin un programa de recompensas de errores es arriesgado, ya que puede ponerlos en problemas legales. Los piratas informáticos probablemente callarían, pero decidieron contactarlo. Los piratas informáticos son muy buenos para encontrar vulnerabilidades y, a veces, es instintivo y encuentran los errores con una prueba rápida y muchas veces por accidente.

Si su sitio web no es popular o no lo está ejecutando con fines de lucro, simplemente agradézcalos públicamente en su sitio web en un Salón de la Fama o incluso en una publicación de blog.

En caso de que sea con fines de lucro, simplemente envíeles algo de dinero ($ 100- $ 500) y deberían estar contentos con eso.

Sin embargo, si en alguna parte de la conversación con ellos lo amenazan o acosan, comuníquese con su abogado de inmediato y presente cargos

Depende de la gravedad del problema. Algunas compañías tecnológicas más grandes incluso tienen programas de recompensas por errores (aunque muchas no). Sugeriría mirar pautas para algunos de esos programas solo para tener una idea de lo que estos tipos podrían esperar. La parte importante es que se alejan felices de modo que si descubren otro problema en su sitio en el futuro, se lo informarán (en lugar de explotarlo o divulgarlo públicamente sin darle la oportunidad de solucionarlo primero) .

De todos modos, aquí hay información (junto con las pautas de pago) para el programa de recompensas de Google: Seguridad de la aplicación

Si yo fuera estos “hackers”, tendría mucho cuidado de cómo representan sus reclamos. Si irrumpe en un negocio para demostrar una debilidad en su seguridad física, incluso si no tiene intenciones maliciosas, probablemente terminaría en el lado punitivo de la ley. ¡Hay compañías que prueban la seguridad de las instalaciones de Internet, sin embargo, procesan su “piratería” bajo la protección de un contrato legal!

Esto suena como extorsión. No pediste su ayuda. ¿Cómo sabes que no saben sobre otras hazañas para aprovechar?

¿Entiende el problema que informaron, por qué es un problema y que la solución, de hecho, solucionará el problema? Asegúrese de que el “arreglo” no sea una forma de abrir más agujeros.

Les agradecería su ayuda, tomaría nota de su información de contacto y vería cómo reaccionan. También estaría preparado para contratar una firma de seguridad adecuada para hacer una revisión de seguridad de su sitio y probablemente buscar asesoramiento legal.

Si puede en el momento dado, ¿por qué no y pasa alguna información? Más de cierta cantidad de $$ ayuda es mucho más divertido de todos modos. Quién sabe. Encontrar … el tiempo.

¡Cuidate! Podría ser una estafa. Inventa y vende sin problemas.

Use una tarjeta prepaga si dona … pero arriesgue allí también.

Espere. ¿Cómo lo sabes? Estoy seguro, pero la gente todavía confía en mí, pero nunca $$ solo palabras.

Te sugiero que discutas esto de manera directa con los hackers. Eso sería lo mejor.

Además, no creo que nada más de 1000 USD esté justificado a menos que sea una gran entidad corporativa. También dependería de si obtiene un beneficio ordenado de ese sitio. Si el sitio no tiene fines de lucro, supongo que algo en el rango de los 100 USD sería aceptable si los piratas informáticos no esperan grandes cantidades de su parte.

Una excelente manera de crear una estructura clara para futuros informes como este, qué tipo de recompensas desea otorgar y evitar envíos aleatorios es configurar un programa de divulgación responsable. Puede ser una página estática en su sitio con un correo de seguridad o puede, por ejemplo, usar nuestro servicio en CrowdCurity, que es gratuito para programas con salón de la fama.

Microsoft tiene un programa de recompensas para recompensar a este tipo de hombres. Las grandes empresas de TI también tienen este tipo de programas. No sé sobre usted, pero debe pensar en la seguridad después de recibir dicha información. Si son consultores profesionales de seguridad, deles algo. Si no lo son, haz algo sabio.

“No comiences una guerra que no sabes cómo ganar”.