TL; DR : C'est probablement bien intentionné et pas une arnaque, mais juste mal écrit.

Je ne connais aucun type d'arnaque qui serait basé sur ce. Certes, il y a eu des tentatives d'extorquer de l'argent aux propriétaires de sites Web en fonction de la connaissance des vulnérabilités des sites Web (et de la menace implicite de les exploiter), mais cela ne semble pas être le cas ici.

Ce n'est pas très bien - e-mail de divulgation écrit. Je suis certainement tombé sur des vulnérabilités auparavant (évidemment, tenter de les exploiter sur un site qui n'a pas donné la permission serait illégal, mais il y en a qui peuvent être évidentes sans tenter d'exploitation), et j'ai envoyé des e-mails avec la même intention que le auteur ci-dessus, mais j'essaie de fournir tous les détails dans le premier e-mail. Je veux aider. Je ne veux pas de rebondir dans le pays des e-mails.

Si c'était moi, je leur demanderais des détails: quelle page (ou pages) contient les vulnérabilités, quels paramètres sont injectables et s'ils pourraient partager une preuve de concept. Si vous n'êtes pas familier avec XSS, je vous recommande de lire la page OWASP sur la vulnérabilité. C'est à la fois très courant et peut être critique, selon le contexte. Une preuve de concept typique (PoC) pour XSS ne sera pas dangereuse pour vous ou votre site, mais fera quelque chose comme afficher une boîte d'alerte javascript contenant le nom d'hôte du site, votre session cuit, ou même simplement le numéro 1. Chacun de ceux-ci montre qu'un attaquant malveillant pourrait exécuter Javascript sur votre site, ce qui aurait des implications importantes pour la sécurité de votre site.

Comme certains l'ont souligné, il est également possible que le le manque d'information est-ce qu'ils jouent "cinglé" chercheront une récompense / paiement. Évidemment, si votre site n'a pas publié de prime de bogue, vous n'êtes pas obligé de le faire.

Ne semble pas être une arnaque, bien qu'il puisse s'agir d'un type d'envoi en masse en raison d'un manque de détails. Peut-être qu'un gars a besoin d'argent, dirige Nessus sur un tas de sites et cherche maintenant une petite récompense de chacun?

Je lancerais moi-même Nessus (ou un autre scanner) pour vérifier, puis contacterais le gars et demandez des détails. Répondez honnêtement à sa question sur les récompenses des bogues. Si vous exécutez un programme de récompense de bogue et qu'il en a trouvé un, il devrait obtenir sa récompense, c'est à cela que sert le programme, non? Si vous ne le faites pas, expliquez simplement que vous ne le faites pas, mais soyez quand même reconnaissant pour son avertissement.

C'est ce qu'on appelle le marketing de la peur ou appel de la peur . C'est une méthode marketing qui utilise la peur comme déclencheur de l 'action.

https://en.wikipedia.org/wiki/Fear_appeal

L'e-mail contient les 3 étapes de base de l ' appel à la peur .

1. présentent un risque.
2. présentent une vulnérabilité au risque.
3. suggérer une action de protection.

C'est généralement considéré comme contraire à l'éthique.

Je signale seulement cet impact, car l'e-mail est un tentative non sollicitée d'obtenir une réponse en utilisant la peur. C'est le fait que l'expéditeur a complètement omis les détails du problème. Vous devez les contacter pour obtenir une réponse, et ils ont déjà déclaré qu'ils attendaient un gage d'appréciation .

Lorsqu'un escroc est pêcher pour les victimes , ils doivent d'abord qualifier une liste de cibles possibles. Son arnaque implique la peur comme déclencheur d’action, et si vous vous répondez, alors qualifiez-vous comme une personne qui réagit aux tactiques de peur .

C'est Probablement ils augmenteront la gravité du problème jusqu'à ce qu'un échange puisse être effectué pour obtenir des détails sur la faille de sécurité . Il / elle demandera très probablement un paiement par bitcoin pour ces informations.

Un véritable professionnel consultant en sécurité aurait fourni les coordonnées complètes , l'adresse postale et numéro de téléphone de leurs services de conseil. Ils auraient également mentionné les avantages de leurs services. Là où, cet e-mail ne mentionne que le risque de ne pas répondre.

La meilleure approche pour gérer cet e-mail est de contacter un crédible consultant en sécurité, et engagez-le pour enquêter sur les réclamations.

Ce n'est pas forcément une arnaque, mais je ne ferais pas confiance à la personne qui vous a contacté de toute façon:

• ils déclarent avoir trouvé une vulnérabilité mais ne présentent pas la moindre preuve
• ils disent que c'est déjà assez grave pour que vous couriez des risques mais choisissent de vous laisser exposé jusqu'à ce que vous les contactiez
• ils demandent une récompense avant de livrer quoi que ce soit

De toute évidence, vous ne souhaitez pas confier votre sécurité en ligne à ces personnes. Si vous les laissez vous aider avec cette vulnérabilité, ils en sauront beaucoup plus sur votre système qu'ils ne le font actuellement. Si jamais vous décidez que vous n'avez pas besoin de leurs services, comment savoir que la prochaine vulnérabilité qu'ils trouveront ne se retrouvera pas sur le marché des exploits?

Si votre site Web a une valeur commerciale, je demanderais certainement de l'aide à experts en sécurité de votre entreprise, peut-être de votre fournisseur d'hébergement, ou même embaucher une personne plus crédible pour effectuer un audit de sécurité.

Un e-mail similaire a été envoyé à l'un de mes clients affirmant qu'il avait une vulnérabilité SSL, avec une offre de correction. Ce client n'utilise pas SSL, donc dans ce cas il s'agissait d'une arnaque évidente. Plusieurs e-mails de ce type circulent.

Je pense que la meilleure approche serait de répondre en demandant si la personne qui a écrit l'e-mail a un moyen de montrer qu'elle a vraiment la capacité d'obtenir un accès excessif à votre service Internet.

Vous pouvez lui donner la permission d'exploiter votre service à des fins de démonstration non destructives uniquement, car il est généralement considéré comme un accès illégal non autorisé pour lui de le faire même si cela ne nuit à rien. Une fois son attaque réussie, vous pouvez parler affaires.

La loi relative à l'accès non autorisé à un service informatique aux États-Unis est très vague, ne considère pas le préjudice causé ou l'intention de faire du mal, et peut techniquement être appliquée à presque tout. Cela peut l'empêcher de démontrer son attaque même si cela semble raisonnable.

lancez une analyse sur votre site et découvrez par vous-même. Les problèmes XSS sont très courants. Vous pouvez obtenir OSSIM, qui est gratuit, et comprend OPENVAS, un scanner de vulnérabilité. Vous pouvez exécuter OSSIM dans Virtualbox ou dans un autre système de virtualisation. Ensuite, scannez l'adresse IP publique de votre site Web et vous obtiendrez un rapport complet.