政府のサイトで脆弱性を公然と報告するとどうなりますか

約1か月前のオーストラリアの16歳の学生、ジョシュアロジャースは、メルボルン市交通管理公共交通ビクトリア（PTV） ptv.vic.gov.auの強さを確認するというアイデアを思いつきました。 若い男が彼の行動のツールとして正確に何を使用したのかは明確ではありません（ネットワークからダウンロードされ、特定のURLに設定された脆弱性スキャナーであるという意見があります）が、このために彼と彼の両親は真剣に心配しなければなりませんでした。



サイトのデータベースには、完全なユーザー名、住所、メールアドレス、サイトで最近閉鎖された店舗に属する9桁のクレジットカード番号、市内の輸送プロジェクトなど、合計約60万件の重要な情報が含まれていました。 データベースクエリが何らかの方法でフィルタリングされなかった可能性が高いため、潜在的な問題についての警告とともに、検出されたSQLインジェクションについてサイト管理者に最初に書き込むことが可能になりました。



いつものように、最初はだれも男の手紙に注意を向けなかったし、それが何であるかさえ理解していなかった。 ジョシュアは地元メディアに目を向け、その後（まだ公開されていませんでした）PTV管理は元気になりましたが、ネットワークへの不正アクセスの申請を警察に連絡する以外に方法はありませんでした。 興味深いことに、ジョシュア事件はコンピューターセキュリティ監査が国営Webサイトのハッカー攻撃に対する準備が不十分であると警告した数週間後に発生しました。



地元のサイバー攻撃の専門家であるPhil Kernikは次のように言っています：はい、ロジャースがデータベースへの不正アクセスを取得することで犯罪を犯したことは明らかですが、データを保護できなかったサイト自体も同様に有罪でした。 結果として、ジョシュアは情報を公表し始めなかったので、彼にとって比較的うまく終わる可能性が高いのですが、最も重要なことには、当局は「...この子供が[脆弱性]を見つけたら、おそらく、彼は最初ではなかった。」



[ ソース ]