¿Cómo reportar una Vulnerabilidad Y No Acabar Picando Piedra?

Has encontrado una vulnerabilidad y quieres reportarla, pues debes saber que no es un proceso sencillo ya que pueden pasarte las siguientes cosas:

• Que lo reportes y ni te contesten.
• Que lo reportes, te contesten dándote las gracias y ni lo arreglen. 
• Que lo reportes, se cabreen y acabes demandado por la empresa, solo por querer ayudarles a mejorar su seguridad. 
• Que lo reportes, te contesten y lo solucionen (No suele ser la más común)

Así que aquí van unos consejos para que consigas reportar la vulnerabilidad de forma efectiva y no acabes mal parado:

1º Comprueba si tienen un sistema de bug bounty: Son programas en los que se premian (económicos, Hall of fame etc.) a los hackers por encontrar vulnerabilidades muchas grandes empresas ya lo están aplicando entre ellas Google, Microsoft, Apple o Facebook.

2º Si no tienen el sistema de bug bounty mi recomendación es que no te comuniques con la empresa y el reporte lo hagas directamente con un CERT (centro de respuesta ante incidentes) o con la GDT (Grupo de Delitos Telemáticos).Ellos se encargaran de ponerlo en conocimiento de la empresa.

Este sería el esquema que yo seguiría también hemos de tener en cuenta que la vulnerabilidades no se han de soltar a la ligera es decir si encuentras una vulnerabilidad no lo pongas en twitter etc. Es más las empresas a las que reportas te suelen dar una fecha de embargo para que puedas publicar la investigación de como descubriste ese fallo, este tiempo puede llegar a extenderse hasta 90 días y deberás esperar hasta que se aplique el parche.

Y aun quedaría otra opción por si quieres reportar una vulnerabilidad y aparte cobrar por haberla encontrado. 

Son empresas de terceros que se dedican a comprar estas vulnerabilidades de forma legal, hay gente que vive solo de reportar vulnerabilidades que se venden a empresas como “Zero Day Initiative”.

 

Con este Articulo vengo a reivindicar que la vulnerabilidades se han de reportar porque como dijo Juliano Rizzo “No hemos venido a liberar a la Bestia, hemos venido a matar a la Bestia” y para el que no entienda la frase de juliano viene a decir algo así como “Hemos publicado un fallo que va ser parcheado y si no lo hubiéramos hecho, podría haber sido utilizado por otras personas con fines delictivos".

 ¡¡¡Saludos y suerte HACKERS!!!

pd: Este tema es muy polémico por lo cual te animo a dejar tu visión, como por ejemplo la de un compañero que ha decido no reportar nada ya que según él la ley no entiende de intencionalidad solo se basa en acciones .