Hoe een beveiligingslek te melden

[OrangeTux]

Ik een lek ontdekt bij een webwinkel. Kwaadwillenden kunnen persoonsgegevens stelen en eventueel de database droppen.

Ik wil dit melden bij het bedrijf. Maar hoe kan ik het beste anoniem melden dat er iets mis is?

_{Ik heb een thema topic op dit forum gelezen, maar daar stond geen op deze vraag in. En omdat het topic dateert uit 2010 heb ik een nieuw draadje geopend.}

[SeatRider]

Waarom zou je dat anoniem willen melden? Wat heb je te verbergen?

[rvrbtcpt]

Waarom anoniem?

Als het perse anoniem moet ga je gewoon naar een openbare computer, maak je een hotmail adres aan en dan verstuur je het bedrijf een e-mail.

[Tsurany]

Willekeurig geanonimiseerd e-mail adres pakken en het mailen? Of het via de post sturen zonder afzender?
Ze zullen echt geen moeite doen te achterhalen wie jij bent als je enkel de informatie stuurt omtrent het mogelijk misbruiken zelf geen misbruik hebt gedaan.

[OrangeTux]

Ik zou graag de reactie willen weten van het bedrijf. En wanneer dat goed zit wil ik aanbieden om het op te lossen. Uiteraard zal ik dan uit de anonimiteit moeten treden.

[Sebazzz]

SeatRider schreef op dinsdag 20 december 2011 @ 11:21:
Waarom zou je dat anoniem willen melden? Wat heb je te verbergen?

Om te voorkomen dat je wordt aangeklaagd voor computervredebreuk zoals laatste te zien op de frontpage.

[Verwijderd]

Sebazzz schreef op dinsdag 20 december 2011 @ 11:30:
[...]

Om te voorkomen dat je wordt aangeklaagd voor computervredebreuk zoals laatste te zien op de frontpage.

Ik vermoed dat dat ermee heeft te maken dat die persoon rechtstreeks naar de media is gestapt ipv. naar het bedrijf zelf. Als iemand het aan het bedrijf zelf meldt zal men een heel stuk schappelijker zijn.

[418O2]

toen was het al gemeld én gefixt he.

[SinergyX]

OrangeTux schreef op dinsdag 20 december 2011 @ 11:29:
Ik zou graag de reactie willen weten van het bedrijf. En wanneer dat goed zit wil ik aanbieden om het op te lossen. Uiteraard zal ik dan uit de anonimiteit moeten treden.

Dus anoniem tot ze geld er voor over hebben dat je interessant genoeg vind, dan pas laten weten wie je bent? En wie zegt dat ze je dan alsnog niet aanklagen? (de link tussen de anonieme melder en 'jij met je aanbod' is voor hun dan ook erg makkelijk te maken).

Vertel ze gewoon als je XX en YY doet, je gegevens ZZ kan bemachtigen, via AA en BB scripts. Als ze dat verder intern kunnen oplossen, heb je je taak gedaan.

[ Voor 12% gewijzigd door SinergyX op 20-12-2011 13:28 ]

[Quad]

Als je verteld wat het is, welk bedrijf het om gaat, en hoe het op te lossen is in een DM, wil ik het ook wel voor je melden hoor .

[Thralas]

418O2 schreef op dinsdag 20 december 2011 @ 13:25:
toen was het al gemeld én gefixt he.

Tja, dat doet er niet toe. Telkens weer lees ik passages als:

Na een melding van Tweakers.net bij Tivoli wist Eagerly Internet, ontwikkelaar van de site, het beveiligingsgat binnen een uur te dichten.

M'n punt is; meld het zelf. Niet bij de klantenservice (in geval van een groot bedrijf), maar hogerop. Werkt het dan nog niet? Vaak is 't mailadres van een eigenaar/directielid wel te vinden, ook al kan die er persoonlijk weinig mee, een forwardje van die persoon zorgt iig. dat er wat aan wordt gedaan

Frijns.Net schreef op dinsdag 20 december 2011 @ 11:21:
Als het perse anoniem moet ga je gewoon naar een openbare computer, maak je een hotmail adres aan en dan verstuur je het bedrijf een e-mail.

Of Tor. En gebruik dan in ieder geval geen Hotmail; die sturen sowieso een X-originating-IP mee

[ Voor 21% gewijzigd door Thralas op 20-12-2011 13:34 ]

[alt-92]

OrangeTux schreef op dinsdag 20 december 2011 @ 11:29:
Ik zou graag de reactie willen weten van het bedrijf. En wanneer dat goed zit wil ik aanbieden om het op te lossen. Uiteraard zal ik dan uit de anonimiteit moeten treden.

Lijkt mij handiger en verstandiger om dat gewoon met open vizier te doen (je weet wel, do not unto others enzo) , tenzij je minder slim bent geweest om een actieve exploit publiek te maken.