Descubrí un bug, lo reporté y ni las gracias me dieron

  • Autor Autor zoker
  • Fecha de inicio Fecha de inicio
Nobita Deluxe dijo:
Tu historia me ayudo en algo, a no ayudar a una transnacional, no valoran nada, debiste averiguar el correo del puesto mas alto de la jerarquía y hablar con el
Hacer clic para expandir...
Jajaja que bueno que extrajiste una lección. creeme que si lo intenté, pero siempre me mandaban con el mentado departamento de soporte. No cualquier desconocido puede escalar peldaños y molestar a los magnates de estas empresa. Quizás si hubiera dicho que era la compañía la que estaba siendo robada me hubieran atendido de inmediato. Pero no... eran solo clientes afectados así que no es importante xD
 
Pompinchu dijo:
Compañero, no te detengas. Aprovecha esa curiosidad a seguir analizando empresas, aprende mucho. En caso desees generar ingresos, cuando tu nivel haya mejorado, ingresas acá: https://www.hackerone.com/

Lo otro, es comentar a las empresas que tienes un reporte de fallo en su sitio web y que esperas alguna consideración o promesa. Depende al rubro, tienes que saber que la visibilización de bugs a manera pública es penalizado. Nunca cae visibilidad, así que te sugiero que una vez reportes y lo parchen, le hables a algún diario de tu ciudad que quieres compartir.

Éxitos!
Hacer clic para expandir...
Wow, muchas gracias por el ánimo y los consejos compañero los tomaré mucho en cuenta. Aunque fue una mala experiencia, no he dejado de lado la posibilidad de ser profesional en esto, sigo actualizandome y curioseando con otras compañías como paypal, que también pide registro en hackerone. Espero un día muy pronto publicar en este foro... justo el tema contrario donde muestre las recompensas de hacer el bien jeje. Mucho éxito para ti también!
 
El bono se lo llevo el ejecutivo que recibio el reporte y lo informo como si lo hubiese descubierto el y se metio la platica jajajaa que mala onda
 
Hola @zoker,

Muy bueno el tema, muy interesante.

Las empresas grandes, como Movistar...
Casi siempre tienen departamentos como...
  1. Desarrollo (de software)
  2. Quality assurance (QA)
  3. Infraestructura (redes)
  4. Seguridad Informática
Y si tienen estos departamentos...
También tienen gerencias y sub-gerencias de sistemas...

El detalle, es que, al ser empresas grandes...
Tienen un método de trabajo, que los involucra a todos...

Te pongo un ejemplo básico...

El departamento de desarrollo crea una aplicación...
Antes de subir a producción, pasa por el departamento de QA...
Y luego de ser aprobado, se sube a pre-producción...
Y es verificado por el departamento de seguridad informática...
Finalmente, con el visto bueno de todos estos, se sube a producción...
Luego, se comunica al público, (depto de marketing)...

Por lo que, tu descubrimiento, expuso...
La falla que tienen los de Movistar, en todo su conjunto...
No es error solamente del programador o programadores...
Es un error de todo el equipo de trabajo, de todos los involucrados...
¿Cómo pudo ser que no lo vieran los de QA?
¿Y los de seguridad informática? ¡Eso es inexplicable!

Y es muy posible, que haya habido una reunión interna...
Yo he trabajado en grandes empresas y esto es muy común...
Para evaluar la situación y buscar una solución al tema...

Fíjate lo que dije, en vez de solucionarlo y ya...
Esto es todo un proceso, en empresas grandes como Movistar...

Además, a cosas como estas, se le da una prioridad...
Por ejemplo...
¿Qué tan importante o grave es?
¿La persona que descubrió esta vulnerabilidad... la está explotando? ¡Pues no!
¿Hemos visto que hay cientos o miles de peticiones "fuera de lugar"? ¡Pues no!
Entonces, es algo a solucionar, ¡Pero de prioridad baja!

Alguien seguramente dijo: ¿Y que hacemos con el chico que reportó el problema?
Alguien seguramente contestó: Pues nada, no es un proveedor, ni parte de la empresa.

Además, piensa... Si te ofrecieran dinero, eso tendría que ser aprobado por algún jefe...
Y eso delataría el problema; de que están trabajando muy mal como equipo...
Y nadie quiere que cosas como esas se propaguen como un chisme...
Ningún equipo o departamento, quiere ser el "hasta reír" de la empresa.

😉 Más o menos, esa sería la situación...

Saludos,
Hugo
 
Yo lo veo más sencillo. No te respondieron por no dar la confirmación/veracidad, que si lo hubieran echo, publicamente estarian afirmando de su grave error y, encima, con pruebas.
Vamos, incluso podrias ir a cualquier medio de prensa y negociar por la informacion. Carne de cañon para cualquier diario made in clickbank donde los ponen al descubierto.
Y una falla como esta, se caen hasta en la bolsa.
 
Algo similar me sucedió hace un tiempo... ni gracias me dijeron.
 
Tenias ser directo y pedir dinero men y sino pues aprovechar ese bug para ti, tal vez tú quisiste hacer una buena acción, igual con tus habilidades puedes ofrecer tu servicio a este tipo de empresas
 
Hiciste lo correcto, solo que muchas veces lo correcto no paga. Yo en tu lugar habría lucrado mucho con ese bug. Aquí en latam (en otras regiones tambien) las compañías ven a las personas como simples ratas que deben estimular para que sigan corriendo en una rueda sin fin, por mas que traten de lucir cool en las redes sociales son solo una gran basura corporativa.
 
Yo trabajé hasta la semana pasada como Seguridad de la Información en Telefónica Panamá, la verdad que en muy poco tiempo que estuve, habían miles de fallos, que nadie corregía...
 
zoker dijo:
Pues en este caso Movistar es el culpable ya que el fallo es de su plataforma jaja pero ni al caso demandar, no vas a enjuiciar a una empresa por una cuenta de streaming no costea, simplemente te niegas a pagarla y cambias de compañía.
Hacer clic para expandir...
Eso si es cierto jajaja.
 
.
Hugo7 dijo:
Hola @zoker,

Muy bueno el tema, muy interesante.

Las empresas grandes, como Movistar...
Casi siempre tienen departamentos como...
  1. Desarrollo (de software)
  2. Quality assurance (QA)
  3. Infraestructura (redes)
  4. Seguridad Informática
Y si tienen estos departamentos...
También tienen gerencias y sub-gerencias de sistemas...

El detalle, es que, al ser empresas grandes...
Tienen un método de trabajo, que los involucra a todos...

Te pongo un ejemplo básico...

El departamento de desarrollo crea una aplicación...
Antes de subir a producción, pasa por el departamento de QA...
Y luego de ser aprobado, se sube a pre-producción...
Y es verificado por el departamento de seguridad informática...
Finalmente, con el visto bueno de todos estos, se sube a producción...
Luego, se comunica al público, (depto de marketing)...

Por lo que, tu descubrimiento, expuso...
La falla que tienen los de Movistar, en todo su conjunto...
No es error solamente del programador o programadores...
Es un error de todo el equipo de trabajo, de todos los involucrados...
¿Cómo pudo ser que no lo vieran los de QA?
¿Y los de seguridad informática? ¡Eso es inexplicable!

Y es muy posible, que haya habido una reunión interna...
Yo he trabajado en grandes empresas y esto es muy común...
Para evaluar la situación y buscar una solución al tema...

Fíjate lo que dije, en vez de solucionarlo y ya...
Esto es todo un proceso, en empresas grandes como Movistar...

Además, a cosas como estas, se le da una prioridad...
Por ejemplo...
¿Qué tan importante o grave es?
¿La persona que descubrió esta vulnerabilidad... la está explotando? ¡Pues no!
¿Hemos visto que hay cientos o miles de peticiones "fuera de lugar"? ¡Pues no!
Entonces, es algo a solucionar, ¡Pero de prioridad baja!

Alguien seguramente dijo: ¿Y que hacemos con el chico que reportó el problema?
Alguien seguramente contestó: Pues nada, no es un proveedor, ni parte de la empresa.

Además, piensa... Si te ofrecieran dinero, eso tendría que ser aprobado por algún jefe...
Y eso delataría el problema; de que están trabajando muy mal como equipo...
Y nadie quiere que cosas como esas se propaguen como un chisme...
Ningún equipo o departamento, quiere ser el "hasta reír" de la empresa.

😉 Más o menos, esa sería la situación...

Saludos,
Hugo
Hacer clic para expandir...

Muy interesante el panorama que planteas compañero. Y si, lo más seguro es que haya ocurrido algo muy cercano a eso. Lástima tenía la esperanza de que al menos hubieran despedido a alguien que no estuviera haciendo su trabajo. Pero lo más seguro es que se echaran la bolita entre ellos y al final terminaran cubriendose las espaldas unos a otros para que no saliera a la luz. Mala práctica por eso no avanzamos como país.
 
zoker dijo:
Muy interesante el panorama que planteas compañero. Y si, lo más seguro es que haya ocurrido algo muy cercano a eso. Lástima tenía la esperanza de que al menos hubieran despedido a alguien que no estuviera haciendo su trabajo. Pero lo más seguro es que se echaran la bolita entre ellos y al final terminaran cubriendose las espaldas unos a otros para que no saliera a la luz. Mala práctica por eso no avanzamos como país.
Hacer clic para expandir...

🙂 Sí, te entiendo, solo ten en cuenta que esto pasa a nivel mundial...
En algunos lugares en mayor medida, en otros en menor.

Saludos,
Hugo
 
eneiromatos dijo:
Hiciste lo correcto, solo que muchas veces lo correcto no paga. Yo en tu lugar habría lucrado mucho con ese bug. Aquí en latam (en otras regiones tambien) las compañías ven a las personas como simples ratas que deben estimular para que sigan corriendo en una rueda sin fin, por mas que traten de lucir cool en las redes sociales son solo una gran basura corporativa.
Hacer clic para expandir...

ctj01 dijo:
Tenias ser directo y pedir dinero men y sino pues aprovechar ese bug para ti, tal vez tú quisiste hacer una buena acción, igual con tus habilidades puedes ofrecer tu servicio a este tipo de empresas
Hacer clic para expandir...

Se muy bien que algunos en mi lugar hubieran actuado de forma distinta, pero quiero que piensen en esto... el perjudicado no iba a ser Movistar, sino sus clientes, personas trabajadoras y honestas que serían estafadas porque alguien no hizo su trabajo. Al final de mes estas personas tendrían que pagar ese servicio pues a Movistar le importa un pepino si lo activaron voluntariamente o no. Se que cuando uno encuentra este tipo de fallos y puede lucrarse con esto se siente uno el "badass" de los negocios. Pero creeme que cuando te la aplican a ti como víctima no es nada bonito. Hace tres meses un sin verguenza me cargó un servicio de cuentas streaming de HBO y FOX a mi recibo de Telmex (Proveedor de Internet y Telefonía en México) algo que en teoría no debería suceder, pues esos servicios necesitan activarse desde el pc conectado al wifi del titular y debe coincidir el SSID con el número de teléfono contratado, más un correo y una contraseña definida por mi al momento de contratar el servicio.... si en teoría. ¿Como lo hicieron? Con un xploit o vulnerabilidad que seguro es muy parecida. Tuve que viajar a la Sucursal de Telmex de mi ciudad gastando tiempo y gasolina, y hacer la aclaración, además de que tuve que pagar el servicio que disfrutó este fulano pues ya se había cargado a mi factura y no recibí ningún aviso hasta que llegó el día de pago. Así que pienselo bien, si algún día se encuentran en una situación como la mía.
 
¡Oops! Hay problemas. Probar más tarde. Más detalles del error pueden estar en la consola del navegador.
 
Terrible, el que vio tu sugerencia seguro se llevó el créditos
 
los negocios se haces como dicen los gringos Face to Face vamos directamente a la compañia y si se los envias anonimo o en un mail pues no te daran nada.
pero igual como dices no esperabas nada asi que no te debe tomar por sorpresa...aqui en USA te hubieras llevado tu premio
 
Pompinchu dijo:
Que lograbas estimado?
Hacer clic para expandir...
Depende lo que se quiera hacer, pero si no me equivoco están mandando la clave de cifrado dentro el mismo método POST... prácticamente puede entrar y descifrar cualquier documento que haya sido firmado con esa key. Pero que me corrijan si estoy equivocado
 
Ante todo la ética profesional!
 
btrimino dijo:
los negocios se haces como dicen los gringos Face to Face vamos directamente a la compañia y si se los envias anonimo o en un mail pues no te daran nada.
pero igual como dices no esperabas nada asi que no te debe tomar por sorpresa...aqui en USA te hubieras llevado tu premio
Hacer clic para expandir...

Si lástima que para ese tiempo no sabía muchas cosas, era y creo que sigo siendo un newbie en esto de la ciberseguridad. Es cierto que como dije no esperaba compensación económica pero si fue una sorpresa no recibir al menos un mensaje de vuelta, como diciendo "Gracias por tu ayuda, ya lo estamos revisando" o "ya se corrigió esta vulnerabilidad, Dios te lo pague :v " pero nada, creo que por ser una empresa multinacional le tenía algo de fe.
 
Hay que estar conectado o registrado para responder aquí.
📣 Tu anuncio aquí desde $2/día
Atrás
Arriba