TL; DR : To prawdopodobnie dobre intencje i nie jest to oszustwo, ale po prostu słabo napisane.

Nie znam żadnego oszustwa, które byłoby oparte na to. Z pewnością były próby wyłudzenia właścicieli witryn za pieniądze w oparciu o znajomość luk w zabezpieczeniach witryn (i niejawnego zagrożenia ich wykorzystaniem), ale nie wygląda to tak, jak w tym przypadku.

Nie jest to zbyt dobre - pisemny e-mail informacyjny. Z pewnością natknąłem się wcześniej na luki w zabezpieczeniach (oczywiście próba wykorzystania ich w witrynie, która nie udzieliła pozwolenia, byłaby nielegalna, ale są takie, które mogą być oczywiste bez próby wykorzystania) i wysyłałem e-maile z takim samym zamiarem, jak autor powyżej, ale wszystkie szczegóły staram się podać w pierwszym e-mailu. chcę pomóc. Nie chcę odbijać się od e-maili.

Gdybym to był ja, zapytałbym ich o szczegóły: która strona (lub strony) zawiera luki w zabezpieczeniach, które parametry można wstrzyknąć i czy mogą mieć wspólny dowód słuszności koncepcji. Jeśli nie znasz XSS, polecam przeczytanie strony OWASP na temat luki. Jest to zarówno bardzo częste, jak i krytyczne, w zależności od kontekstu. Typowy dowód koncepcji (PoC) dla XSS nie będzie niebezpieczny dla Ciebie ani dla Twojej witryny, ale spowoduje wyświetlenie okna ostrzegawczego javascript zawierającego nazwę hosta witryny, pliki cookie sesji, a nawet tylko numer 1. Każdy z nich wskazuje, że złośliwy atakujący mógł uruchomić JavaScript w Twojej witrynie, co miałoby znaczący wpływ na bezpieczeństwo Twojej witryny.

Jak niektórzy zauważyli, możliwe jest również brak informacji, czy grają w to "chytra", szukając nagrody / zapłaty. Oczywiście, jeśli Twoja witryna nie ma opublikowanej listy błędów, nie masz takiego obowiązku.

Nie wygląda na oszustwo, chociaż może to być rodzaj masowej wysyłki ze względu na brak szczegółów. Może jakiś facet potrzebuje pieniędzy, zarządza Nessusem w kilku witrynach i teraz szuka małej nagrody od każdego z nich?

Sam uruchomiłbym Nessus (lub inny skaner), aby to sprawdzić, a następnie skontaktować się z facetem i zapytaj o szczegóły. Szczerze odpowiedz na jego pytanie dotyczące nagród za błędy. Jeśli uruchomisz program nagradzania błędów, a on go znalazł, powinien otrzymać nagrodę, po to ten program jest, prawda? Jeśli nie, po prostu wyjaśnij, że tak nie jest, ale mimo wszystko jesteś wdzięczny za jego ostrzeżenie.

Nazywa się to marketingiem strachu lub odwołaniem do strachu . Jest to metoda marketingowa wykorzystująca strach jako czynnik wywołujący działanie.

https://en.wikipedia.org/wiki/Fear_appeal

E-mail zawiera 3 podstawowe etapy odwołania strachu .

1. stanowią zagrożenie.
2. stanowią podatność na to ryzyko.
3. zasugeruj działanie ochronne.

Generalnie jest to uważane za nieetyczne.

Zwracam uwagę tylko na ten aspekt, ponieważ e-mail jest niezamawiana próba uzyskania odpowiedzi za pomocą strachu. Chodzi o to, że nadawca całkowicie pominął szczegóły dotyczące problemu. Musisz się z nimi skontaktować, aby otrzymać odpowiedź, a oni już powiedzieli, że oczekują dowodu uznania .

Kiedy oszust jest łowiący ofiary muszą najpierw zakwalifikować listę możliwych celów. Jego oszustwo obejmuje strach jako bodziec do działania, a jeśli odpowiesz, kwalifikujesz się jako osoba, która reaguje na taktykę strachu .

To prawdopodobnie będą eskalować powagę problemu, aż będzie można dokonać wymiany szczegółów na temat luki w zabezpieczeniach . Najprawdopodobniej zażąda płatności bitcoinem za informacje.

Prawdziwy profesjonalny konsultant ds. Bezpieczeństwa podałby pełne dane kontaktowe, adres pocztowy i numer telefonu ich usług doradczych. Wspomnieliby też o zaletach swoich usług. Podczas gdy tak, ten e-mail wspomina tylko o ryzyku braku odpowiedzi.

Najlepszym sposobem obsługi tego e-maila jest skontaktowanie się z wiarygodnym konsultanta ds. bezpieczeństwa i zatrudnij go do zbadania roszczeń.

To nie musi być oszustwo, ale i tak nie ufałbym osobie, która się z tobą skontaktowała:

• deklaruje, że znalazła lukę, ale nie przedstawia najmniejszego dowodu
• mówią, że jest to na tyle złe, że ryzykujesz, ale decydują się zostawić cię narażonym, dopóki się z nimi nie skontaktujesz.
• pytają o nagrodę przed dostarczeniem czegokolwiek

Najwyraźniej nie chcesz powierzać bezpieczeństwa online tym osobom. Jeśli pozwolisz im pomóc Ci z tą luką, będą wiedzieć o Twoim systemie znacznie więcej niż teraz. Jeśli kiedykolwiek zdecydujesz, że nie potrzebujesz ich usług, skąd wiesz, że kolejna znaleziona luka nie trafi na rynek exploitów?

Jeśli Twoja witryna ma wartość komercyjną, zdecydowanie poprosiłbym o pomoc ekspertów ds. bezpieczeństwa w Twojej firmie, być może u dostawcy usług hostingowych, a nawet zatrudnić kogoś bardziej wiarygodnego do przeprowadzenia audytu bezpieczeństwa.

Podobny e-mail został wysłany do jednego z moich klientów twierdząc, że ma lukę w zabezpieczeniach SSL, z ofertą naprawy. Ten klient nie używa SSL, więc w tym przypadku było to oczywiste oszustwo. Wokół krąży kilka e-maili tego typu.

Myślę, że najlepszym podejściem byłaby odpowiedź z pytaniem, czy osoba, która napisała wiadomość e-mail, ma jakikolwiek sposób na wykazanie, że naprawdę ma możliwość uzyskania nadmiernego dostępu do Twojej usługi internetowej.

Możesz dać mu pozwolenie na wykorzystanie twojej usługi wyłącznie do nieniszczących celów demonstracyjnych, ponieważ jest to powszechnie uważane za nielegalny nieautoryzowany dostęp, nawet jeśli nie szkodzi to niczego. Po udanym ataku możesz rozmawiać o interesach.

Prawo dotyczące nieautoryzowanego dostępu do usług komputerowych w USA jest bardzo niejasne, nie uwzględnia wyrządzonej szkody lub zamiaru wyrządzenia szkody i może być technicznie zastosowane do prawie wszystko. Może to powstrzymywać go przed zademonstrowaniem swojego ataku, nawet jeśli wydaje się to rozsądne.

Przeprowadź skanowanie swojej witryny i przekonaj się sam. Problemy XSS są bardzo powszechne. Możesz pobrać OSSIM, który jest bezpłatny i zawiera OPENVAS, skaner luk w zabezpieczeniach. Możesz uruchomić OSSIM w Virtualbox lub innym systemie wirtualizacji. Następnie zeskanuj publiczny adres IP swojej witryny, a otrzymasz pełny raport.