Beg Bounties (2021)
Los investigadores de seguridad y los desarrolladores están enfrentándose por una creciente ola de “beg bounties” de bajo esfuerzo, en las que personas ejecutan análisis de seguridad automatizados, informan de problemas triviales o inexistentes y exigen pago. Quienes las defienden sostienen que incluso hallazgos menores pueden significar ingresos importantes en regiones más pobres y que a veces revelan problemas reales, pero muchos destinatarios ven estos informes no solicitados, a menudo vagamente amenazantes, como spam que ahoga las divulgaciones serias de vulnerabilidades y desperdicia recursos limitados de triage. La conversación pone de relieve tensiones más amplias en torno a la divulgación responsable, cuándo (o si) el trabajo de seguridad no solicitado merece compensación y cómo deberían estructurar las empresas sus programas de recompensas para filtrar el ruido sin desanimar a los investigadores legítimos.
Beg Bounties: Qué son
- Muchos participantes describen las “beg bounties” como informes de “vulnerabilidades” no solicitados y de bajo esfuerzo, a menudo generados por herramientas automatizadas (problemas de SPF/DMARC, clickjacking, registros públicos de Docker, archivos públicos de listas de correo, etc.).
- Con frecuencia se presentan como problemas de seguridad graves, con la expectativa o exigencia de pago, a veces antes de revelar cualquier detalle técnico.
- Algunos ven esto como algo parecido a “servicios” callejeros no solicitados (por ejemplo, lavar las ventanas del coche y luego insistir en el pago).
Impacto operativo en los equipos de seguridad
- Quienes hacen triage y operan programas de recompensas informan de grandes volúmenes de envíos de poco valor, a veces varios por día, incluso por hora.
- Muchos lo gestionan mediante:
- Políticas públicas claras que excluyen elementos de bajo impacto y la salida de análisis automatizados.
- Respuestas tipo y bloqueo de abusadores reincidentes.
- Algunos dicen que el ruido es “ligeramente molesto” y se filtra fácilmente; otros dicen que entierra informes reales y ha hecho que al menos un problema grave se pase por alto.
Pago, valor e incentivos para investigadores
- Un lado: si el trabajo no es solicitado, no hay obligación de pagar; la calidad no es negociable y normalmente falta en las beg bounties.
- Otro lado: el trabajo especulativo es común en otros campos; descubrir y documentar adecuadamente una vulnerabilidad es trabajo real que merece compensación si el receptor valora el resultado.
- Algunas empresas pagan deliberadamente cantidades pequeñas incluso por problemas marginales para construir una reputación de honrar las recompensas y atraer a investigadores serios.
- Los investigadores profesionales informan del problema opuesto: errores válidos y de alto impacto a veces no se pagan o se rebajan, lo que lleva al agotamiento y a la desconfianza en los programas.
Ética, legalidad y divulgación
- Para algunos, retener los detalles hasta el pago roza la extorsión.
- Otros sostienen que el comportamiento debe entenderse en el contexto de la pobreza y la desigualdad global, sin por ello excusarlo.
- Se repite la advertencia de que incluso una actividad “gray hat” bienintencionada (explotar fallos para “demostrar” el impacto) puede acabar con la intervención policial o un procesamiento.
- Algunos abogan por una divulgación pública rápida cuando las organizaciones ignoran problemas graves; otros insisten en dar primero a los objetivos una oportunidad justa de corregirlos.
Preocupaciones relacionadas de privacidad y seguridad en la nube
- Debate sobre el daño de filtraciones de grabaciones de voz de niños; mención del tratamiento legal como datos personales de menores.
- Discusión lateral ampliada sobre S3/ubicaciones públicas: por qué se advierte tanto contra el acceso público, los riesgos de costes de egreso y los casos de uso de almacenamiento privado frente a público.