Что будет за раскрытие факта уязвимости на гос-ресурсе?

Question

[mitaichik]

Добрый день.

Случайно нашел уязвимость на крупном гос ресурсе, через которую можно спереть перс данные (фио, номер паспорта и т.д.) о их пользователях (пол России)

Написал в поддержку, сказали спасибо, передадут в ответственное подразделение.
Прошла неделя, ничего не исправлено. Сказал что если не исправят - буду писать в сми - молчание.

Есть ли риски, если я раскрою факт наличия у них уязвимости, без ее описания?
С одной стороны есть понимание что без привлечение внимания никто не пошевелится, а в это время перс данные (в том числе и мои) могут слить.

С другой стороны - ссыкотно.

Comments

[Владислав Лысков]

Я бы вообще не связывался в таких делах с гос. организациями, да и со многими другими, у которых нет баг баунти

[Legal Adviser]

Вот, можете попытать счастье.

Answer 1

[Сергей Горностаев]

На Хабре десятки статей, а в интернете и сотни на тему "Я раскрыл уязвимость и на меня завели уголовное дело".

Answer 2

[АртемЪ]

Есть ли риски, если я раскрою факт наличия у них уязвимости, без ее описания?

Конечно. Вплоть до уголовного дела.

Ну я бы на их месте в случае раскрытия вами уязвимости обратился в полицию - а дальше найти вас дело техники.

Comments

[mitaichik]

Да я и не скрываюсь, они прекрасно знают кто я такой.
Да и уязвимости там нахожу не первый раз - раньше просто их фиксили в мгновенье ока (был контакт человека, ответственного за это), сейчас команда поменялась.....

[АртемЪ]

mitaichik, Ну тут следует четко понимать - нашли проблему, вы можете сообщить об этом в поддержку.
А они могут либо пофиксить это проблему, либо оставить как есть - это их дело.

Answer 3

[CityCat4]

Есть ли риски, если я раскрою факт наличия у них уязвимости, без ее описания?

Конечно.
Им же нужно будет найти "виноватого". А Вы тут, рядом. За жабры Вас - и в виноватые :)

Answer 4

[Vamp]

Напишите обращение в Роскомнадзор. Персональные данные - это их вотчина.

Мол, данный сайт раздает персональные данные направо и налево, прошу провести правовую оценку и принять меры.

Не пишите про взлом или ещё что-то. Иначе это повод для ст. 272 УК РФ. Плохо, что вы угрожали публикацией в СМИ. Это тоже могут использовать против вас.

Answer 5

[Legal Adviser]

Можете найти руководство и выйти к ним на беседу. Если этот сайт делали не из госсектора (есть спец ведомство), то можете и туда обратиться может вам работу предложат ))

Answer 6

[Александр Черных]

Теперь, если их взломает третья сторона, подозрение падет на Вас. Плохо