Ce n'est certainement pas une pratique courante . Même si cette personne a trouvé un problème légitime sur votre site, c'est une forme d'extorsion.

Il y a une «divulgation responsable» appropriée et les «chercheurs en sécurité» professionnels ne commencent pas par demander de l'argent. Les programmes de primes de bogues existent pour une raison.

Le problème est que vous ne savez pas si la vulnérabilité vaut 100 $ pour vous .

Il s'agit très, très probablement d'une arnaque , mais si vous avez affaire à un professionnel légitime ayant de faibles compétences en communication, vous pouvez demander des détails, par exemple où le problème est («infrastructure»? c'est étrange pour un site Web), et tous les détails sur qui ils sont et la preuve de leur travail professionnel dans la recherche en sécurité.

S'ils intensifient l'émotion ou prolongent l'extorsion, vous savez que c'est une arnaque. N'installez ou n'ouvrez aucun fichier qu'ils vous envoient. S'ils sont légitimes, ils travailleront avec vous.

Pour vous donner une idée, je ne suis pas un testeur professionnel et je ne fais pas de bug bounties. Mais de temps en temps, je découvre une vulnérabilité dans un site. Je contacte d'abord la société en demandant la personne qui traiterait les vulnérabilités du site avec un aperçu d'une phrase du problème général. Je fais cela pour m'assurer de pouvoir parler à une personne responsable , et non à une personne non autorisée qui pourrait abuser ou mal gérer (ou ne pas comprendre) les informations que je suis sur le point de leur donner. Je leur donne aussi une preuve de qui je suis pour ne pas passer pour un escroc.

Quand je parle à la meilleure personne que je peux, je donne la ventilation complète, avec mon processus pour répéter le problème, les URL, les paramètres, etc., et la raison pour laquelle je pense que c'est un préoccupation. Je réponds aux questions qu'ils posent, mais je ne donne jamais, jamais, l'impression que j'ai besoin ou que je veux qu'ils fassent quoi que ce soit de toute urgence. Je les laisse travailler sur leur évaluation des risques. C'est leur travail. C'est leur site.

Je ne demande pas non plus d'argent, mais si je le faisais, ce serait après avoir fait tout ce que j'ai pu pour aider leur équipe à résoudre le problème. Et je ne m'attendrais pas à recevoir de l'argent ni aucune forme de récompense, même si je le demandais.

Soit le site a un programme de bug bounty qui définit les attentes et les relations de toutes les personnes impliquées, soit le site ne le fait pas, et j'aide simplement et peut-être en tirer quelque chose, ou pas.

C'est ainsi qu'un professionnel aborderait un site avec une vulnérabilité qu'il a découverte.

Je ne suis même pas sûr de pouvoir m'engager avec cette personne. Cela semble une extorsion louche et limite. Il est même concevable que la faille n'existe même pas mais il souhaite vous envoyer un 'patch' qui installera une porte dérobée sur votre serveur.

Avant d'entrer en contact avec cette personne (si vous le décidez) , essayez de trouver vous-même la vulnérabilité en lisant les journaux de votre serveur Web et recherchez des activités suspectes telles que des traces d'injections SQL qui pourraient apparaître dans les URL. Cela va être fastidieux. Je commencerais donc à chercher quelques heures avant l'envoi de cet e-mail.

Si vous avez des compétences en script, vous pouvez les utiliser à bon escient pour analyser le fichier journal. Les commandes bash utiles seraient cut , awk et autres combinés avec sort et uniq (par exemple pour créer un liste des URL uniques). Je me concentrerais également sur les erreurs 401 ou 403 qui indiquent des tentatives d'accès à des pages non autorisées. 500 erreurs également.

Vérifiez également qu'aucun fichier suspect n'est présent sur votre serveur comme un shell Web.

Si vous trouvez un tel fichier, vous pouvez l'utiliser comme critère pour filtrer les journaux (regardez l'adresse IP qui a fait la demande sur la même ligne).

Bien qu'il s'agisse d'une adresse Gmail, l'autre partie peut avoir envoyé le message depuis son domicile, en utilisant son propre client de messagerie. Ensuite, il est possible que vous trouviez l'adresse IP d'origine dans les en-têtes de courrier .

Cette personne se cache probablement derrière un proxy ou un VPN, mais certaines personnes sont simplement indifférentes, paresseuses et maladroites. Donc, si vous obtenez l'adresse IP, vous pouvez l'utiliser pour filtrer vos journaux et suivre leurs traces.

Quand il dit "J'ai accidentellement trouvé des vulnérabilités dans votre infrastructure", c'est tout à fait possible. Si votre site Web autorise la liste des répertoires, il a peut-être trouvé des fichiers sensibles en coupant simplement l'URL. Ensuite, la solution consiste à extraire les fichiers et à mieux configurer votre serveur. Les moteurs de recherche indexent ainsi beaucoup de fichiers, des fichiers qui n'étaient pas censés être exposés. Vous pouvez exécuter certaines requêtes pour les trouver, elles sont appelées dorks. Peut-être que le "Security Researcher" (ou le script kiddie) est tombé sur votre site Web après avoir exécuté un con, et il est juste à la recherche d'un peu d'argent rapide et paresseux.

Essayez de dork vous-même. Tapez ceci dans Google: site: yoursite.com . Et voyez s'il y a des pages indexées dans Google, cela ne devrait pas l'être.

Cela peut ou non être du spam (ou même de l'extorsion, comme le prétendent certaines réponses), mais cela ne semble certainement pas non plus une bonne affaire. Regardons les faits:

• La personne ne fournit absolument aucune indication qu'il y a réellement un problème de sécurité, ni que vous vous en soucieriez s'il y en avait (tous les problèmes de sécurité théoriques ne sont pas un problème pratique pour chaque site Web), ni que leur correctif est correct. Dans un certain sens, cette "offre" est analogue à quelqu'un qui vous envoie un e-mail "Je fournis des services dans le domaine X, envoyez-moi 100 $ et je vous dirai quels sont ces services" . Je soupçonne que dans n'importe quel autre domaine, vous déplaceriez une telle sollicitation à la poubelle en quelques secondes.
• Le montant qu'ils demandent est cacahuètes . Ceci, combiné au fait qu'ils ne vous diront pas quel est le problème, suggère fortement que tout ce qu'ils "ont trouvé" sera si insignifiant que personne ne paierait pour cela s'ils vous le disaient d'avance. Ce que vous obtiendriez (le cas échéant - rappelez-vous, il peut aussi s'agir simplement de spam et vous n'entendrez jamais parler d'eux après avoir payé) serait probablement un rapport d'un scanner de sécurité automatisé et d'une poignée de liens génériques. Rien pour lequel vous paieriez normalement de l'argent. S'ils trouvaient un problème sérieux et avaient des informations non triviales sur la façon de le résoudre, ils vous diraient quel problème il s'agit et vous proposeraient de le résoudre sur une base contractuelle (et, bien sûr, demanderaient beaucoup plus de 100 $) .
• En supposant qu'il s'agit en effet d'un petit problème avec une solution évidente, chaque chercheur en sécurité qui se respecte, que je connais, vous le dirait (surtout si vous êtes une personne privée ou représentez une petite entreprise, ce que je suppose). Encore une fois, 100 $ sont des cacahuètes dans la mesure où les tarifs des entrepreneurs vont, et certainement pas assez d'argent pour conclure une affaire douteuse comme celle-ci. En regardant le modèle d'e-mail, je suppose qu'il suffit d'exécuter des analyses automatisées des sites Web et de générer un tel e-mail chaque fois que ces outils rapportent quoi que ce soit . Il est probable que même l'expéditeur de l'e-mail lui-même ne sache pas à ce stade s'il s'agit de quelque chose qui préoccuperait réellement quelqu'un.
• Et puis, bien sûr, il y a certains des signes habituels de spam - offre non sollicitée, Gmail générique adresse, réclamations à consonance importante mais génériques, utilisation de services de paiement non traditionnels (et aucune mention de contrats, factures, etc.), demande d'argent d'avance, etc.

Dans l'ensemble: ignorez l'e-mail.

En plus de tous les signes criant "arnaque" que vous avez remarqués, même si cette offre est légitime (bien qu'avec des méthodes de marketing louches à illégales), les résultats sont peu susceptibles d'avoir une quelconque valeur. Pour 100 $, vous obtiendrez probablement les résultats d'une analyse de port automatisée qui ne fait que faire correspondre les chaînes de réponse du protocole aux vulnérabilités possibles sans effectuer de tests réels.

Par exemple, j'ai déjà demandé à un client de payer beaucoup plus de 100 $ pour un scan «professionnel» qui comprenait des résultats absurdes. Ma réponse a inclus

Votre analyste de sécurité vous a dit que le compte «foo» avait un mot de passe par défaut connu. Il n'y a pas de compte «foo» sur le système.

Votre analyste de sécurité vous a dit que votre service «bar» était configuré pour utiliser une méthode de chiffrement faible. Nous avons supprimé cette méthode de chiffrement il y a deux versions.

Voulez-vous que je continue à parcourir les éléments restants du rapport de sécurité ou est-ce suffisant pour répondre à vos préoccupations?

Le message original incluait ce point important:

Je suis un chercheur en sécurité exécutant un service d'identification de vulnérabilité pour un petit groupe de clients privés, et j'ai accidentellement trouvé des vulnérabilités dans votre infrastructure.

Il est donc théoriquement possible qu'ils aient trouvé un problème sur votre système en analysant celui d'une entité avec laquelle vous faites affaire. Dans ce cas, il serait parfaitement raisonnable de demander une référence à leur client avec qui la société de sécurité travaillait.

Tout ce qu'il faut savoir, c'est whoever@gmail.com . Ce n'est donc pas une société ou un domaine enregistré; ce type n'a même pas les moyens d'enregistrer un domaine et d'exécuter un serveur de messagerie, mais joue le "chercheur de sécurité", qui ne veut pas que ses informations d'identification soient vérifiées, évidemment pour des "raisons de sécurité".

"dans les 48 heures "signifie généralement qu'il s'agit d'une" offre à durée limitée "; une astuce marketing assez bon marché.

De nombreuses escroqueries jouent sur les peurs des gens; il suffit de voir ce qui se passe actuellement dans le monde réel ... et il y a aussi des arnaques, qui jouent sur l'imagination, les attentes et les désirs insatisfaits des gens.

La solution au problème inexistant: signaler comme spam & signaler à PayPal.
Alternativement, vous pouvez jouer un peu avec lui; par exemple. Dites simplement OK aux fraudeurs.

Cette question pourrait probablement mieux convenir à Psychology & Neuroscience...
car ils n'ont pas analysé votre site Web pour les vulnérabilités, mais votre psyché.

Par rapport à cette tentative de fraude (sans aucun doute), lisez "Divulgation responsable des vulnérabilités de sécurité", afin de mieux comprendre, comment " les pratiques standard "peuvent se ressembler.

100% arnaque.

La bonne action de votre part si vous êtes inquiet est de contacter une entreprise professionnelle qui peut effectuer un audit de sécurité sur votre page Web.

Mon conseil est d'ignorer complètement toutes les offres qui ne sont pas sollicitées par vous en premier lieu.

Fondamentalement, nous ne faisons pas confiance à un étranger qui demande une récompense contre un service amical, ou le faisons-nous?

Cela dit, nous n'avons pas assez de détails pour juger la criticité de votre système, puis décidez si les 100 $ sont le Juste Prix ou non.

Si vous utilisez un logiciel (open source) largement utilisé comme CMS ou ERP, cette prime hunter aurait pu cibler une centaine d'autres victimes avec le même e-mail, cela pourrait être une meilleure tactique lucrative que de cibler une seule victime avec une prime incertaine de 5000 $.

Dans ce cas, vous feriez mieux de vérifier votre installation, si il a les dernières mises à jour et correctifs, vous pouvez également consulter la base de données des vulnérabilités du fournisseur, j'espère que le chasseur de primes n'a pas un exploit de 0 jours dont il tire parti.

Si le système ciblé est une solution sur mesure , les choses peuvent être plus difficiles à gérer, en fonction de l'équipe que vous avez en place.

Le niveau d'anglais de l'e-mail est assez correct, même s'il ne comporte aucune menace implicite, je serais Nous sommes préoccupés par sa gravité.