Bug bounty

Un bug bounty (literalmente, recompensa por bugs) es una oferta permanente de una empresa: si encontrás una falla de seguridad en nuestros productos y nos avisás en privado, siguiendo nuestras reglas, te pagamos. El monto depende de qué tan grave sea el problema, desde un agradecimiento chico por algo menor hasta sumas grandes por una falla que podría exponer cuentas de usuarios. Los tienen las grandes tecnológicas, bancos, gobiernos y muchas startups, a menudo a través de plataformas que gestionan los reportes y los pagos.

Cada programa publica una política que es el corazón del acuerdo. Lista qué sitios y apps están en alcance, qué está prohibido (atacar a otros usuarios, saturar servidores, tocar datos reales de clientes más allá de lo necesario para demostrar el punto) y cómo reportar. Dentro de esas reglas, los investigadores tienen permiso para probar; fuera de ellas, la misma actividad puede ser ilegal. Los reportes van en privado a la empresa, que confirma la falla, la arregla, paga y muchas veces deja que el investigador publique un análisis después.

Ese último paso se llama divulgación coordinada (o divulgación responsable): el problema se hace público recién cuando los usuarios están protegidos. Incluso las empresas sin un programa pago suelen publicar una política de divulgación de vulnerabilidades que explica cómo reportar una falla y promete no iniciar acciones legales contra quien actúa de buena fe.

Los bug bounties complementan a las pruebas de penetración, no las reemplazan. Un pentest es un equipo chico durante unas semanas; un bounty es mucha gente con habilidades distintas mirando todo el año. La contra es que la empresa tiene que estar lista para revisar un flujo constante de reportes, muchos repetidos o que no son problemas reales.