Desde hace varios años, algunas empresas premian a aquellas personas que las avisen de problemas de ciberseguridad en sus productos o sistemas informáticos. Este tipo de iniciativas se denominan programas de Bug Bounty -que se podría traducir como «recompensa por errores»- y a ellas también se han sumado algunas marcas de coches.
El objetivo de estos programas es que las empresas sepan los posibles fallos de ciberseguridad de sus productos o sistemas antes de que lo descubran los crackers. De esta forma, podrán corregirlo y la vulnerabilidad quedaría anulada antes de que nadie se aproveche de ella.
Por ejemplo, si navegando por la página web de una empresa descubres que hay una forma de acceder a información personal de los empleados y dicha compañía tiene un programa de Bug Bounty activo, podrás comunicárselo y ser recompensado por ello. Lógicamente, no es tan sencillo encontrar una vulnerabilidad. Por eso se premian estos hallazgos: es una forma de ganarse la vida para los investigadores de ciberseguridad.
Jaime Andrés Restrepo, uno de los investigadores de ciberseguridad más reconocidos del mundo y fundador de DragonJAR, explicó en esta entrevista en HackerCar que los usuarios finales salen beneficiados de los programas de Bug Bounty porque van a tener un producto más seguro, con los errores subsanados.
¿Cómo puedes participar en un programa de Bug Bounty?
Una de las formas más habituales que tienen las empresas para ofrecer sus programas de Bug Bounty es a través de páginas web especializadas. Son plataformas donde las empresas publican sus ofertas para que los hackers interesados consulten sus condiciones, sus recompensas y contacten con ellas. En estas plataformas puede inscribirse cualquiera para contactar con una compañía que tenga en ellas un programa activo para comunicarles su hallazgo. HackerOne y Bugcrowd son algunas de las plataformas más famosas.
Pero no es tan sencillo descubrir una vulnerabilidad valiosa: suele ser necesario tener ciertos conocimientos informáticos. Además, la mayoría de empresas piden que se documente debidamente el fallo descubierto. Por eso, son los investigadores de ciberseguridad quienes más se benefician de los programas de Bug Bounty.
Conviene matizar que estos programas no constituyen un llamamiento a que cualquiera intente atacar sistemas informáticos cueste lo que cueste. La mayoría de las empresas imponen como requisitos que las acciones que lleven a descubrir una vulnerabilidad no pueden ser ilegales ni causar daño a la seguridad o privacidad de personas o empresas. Algo lógico, ya que lo contrario estaríamos hablando de un ciberataque.
Algunas marcas de coches ya tienen un programa de Bug Bounty
Como puedes comprobar en nuestra sección de ciberalertas, los coches se han vuelto víctimas habituales de los problemas de ciberseguridad. Y los crackeos tienen un importante coste: un estudio de Upstream Security calculó que en 2023, los ciberataques a vehículos costarán 21 mil millones de euros.
Por eso, las marcas de coches ya están tomando medidas para proteger a sus vehículos. Y dentro de esas medidas, algunas han lanzado sus propios programas de Bug Bounty para recompensar a aquellos investigadores que les alerten de problemas de ciberseguridad en sus vehículos. Estas son todas las que tienen alguno de estos programas.
Ford
El fabricante estadounidense tiene activo su programa de Bug Bounty a través de esta página de HackerOne. Allí puedes encontrar todos los requisitos necesarios para participar, cómo enviar el reporte de vulnerabilidad y qué tipo de fallos son los que Ford valora. Entre esos errores más valiosos para la marca están:
- Ejecución remota de código.
- Inyección SQL.
- Escalada de privilegios al nivel de administrador.
- Inyección XML.
- Referencia de objeto directo inseguro.
Ford no revela públicamente qué tipo de recompensa da a aquellos que participen en este programa.
BMW
Los alemanes tienen activo un programa de Bug Bounty en HackerOne, disponible a través de este enlace. Allí está disponible toda la información sobre qué tipo de reportes busca BMW, cuáles no, y cómo hacerlos.
El fabricante recompensará las vulnerabilidades recibidas en cuatro categorías de remuneración, en función del nivel de riesgo que le otorguen: bajo -250 dólares-, medio -500 dólares-, alto -1.000 dólares- y crítico -3.000 dólares-.
Además, el Grupo BMW ofrece un ‘Salón de la Fama’ en su página web donde reconoce públicamente a aquellos investigadores que le han comunicado una vulnerabilidad crítica.
Mercedes
Mercedes tiene un apartado en su página web global en el que presenta los detalles de su política para reportar vulnerabilidades. Se puede acceder a dicha sección a través de este enlace para consultar todos los requisitos de participación. También hay un listado de productos o sistemas sobre los que a la marca le interesa recibir reportes:
- Todos los servidores informáticos propiedad de Daimler AG.
- Todas las aplicaciones publicadas por Daimler AG, por ejemplo Mercedes me.
- Todos los vehículos vendidos bajo las marcas: Mercedes-Benz, Smart, Mercedes-AMG, Mercedes-Maybach.
- Cualquier accesorio o componente para usar con los vehículos anteriores vendidos bajo estas marcas.
Mercedes no detalla qué recompensa recibirán los hackers que la avisen de un fallo.
General Motors
Al igual que Ford, este fabricante estadounidense tiene en vigor una página en HackerOne, a la cual se accede a través de este enlace. General Motors no explica mucho qué es lo que busca. Simplemente explica que desea que le comuniquen «información relacionada con las vulnerabilidades de seguridad de los productos o servicios de General Motors», seguido de un listado de directrices y de hallazgos que quedarían fuera del programa.
Tampoco detalla qué recompensas da a los hackers ni qué vulnerabilidades ha resuelto con estos programas.
Tesla
Esta marca es una de las más activas en cuestión de Bug Bounty, ya que tiene varios frentes abiertos en ese sentido.
Actualmente, Tesla tiene en vigor una página en Bugcrowd, una página del mismo estilo que HackerOne. El enlace para acceder a ella y consultar todos los requisitos de participación y ejemplos de fallos que interesan a Tesla es este.
Además, esta marca indica la cuantía de los premios que otorgará a los hackers que la ayuden. Tesla divide estas recompensas en varios escalones, según la importancia que dé a cada categoría de vulnerabilidad. El nivel más bajo son 100 dólares -82 euros-, peor puede llegar hasta los 15.000 dólares -más de 12.000 euros- para aquellos que descubran vulnerabilidades relacionadas con vehículos o productos.
Además, a Tesla le gusta estar presente en eventos de ciberseguridad y tecnología para retar a los hackers a que encuentren problemas de ciberseguridad en sus modelos. Para motivar la participación, es habitual que ofrezca coches y hasta un millón de dólares como premio a quien consiga hackear sus modelos expuestos.
Como curiosidad, esta marca cuenta en su página web con un «Salón de la Fama» donde reconoce a los investigadores de ciberseguridad que la han notificado de una vulnerabilidad.
FCA
Este grupo automovilístico, que abarca a marcas como Fiat, Jeep o Alfa Romeo, entre otras, sufrió el hackeo más viral de la historia: el famoso ‘paseo’ que le dieron los hackers Charlie Miller y Chris Valasek a un periodista de Wired en un Jeep Cherokee. Ese recorrido puso de manifiesto que el sistema multimedia del coche podía ser controlado a distancia, una vulnerabilidad con la que los hackers lograron incluso controlar el movimiento del vehículo.
Un año después, en julio 2016, FCA decidió sacar un programa de Bug Bounty en Bugcrowd. Lo que busca FCA son reportes de fallos en las unidades principales del vehículo, sensores TPMS, entrada remota sin llave y cualquier otro sistema que esté presente en un producto de hardware, además de en las diversas aplicaciones de conectividad para los vehículos del grupo.
Todos los detalles sobre este programa de recompensas por errores están disponibles en este enlace, y el fabricante promete premios de entre 150 dólares -unos 120 euros- y 7.500 dólares -unos 6.200 euros-.
Audi
En un apartado en su página web alemana, y sin entrar en mucho detalle, Audi ofrece la oportunidad de ponerse en contacto con su división de ciberseguridad a aquellos que descubran «una posible vulnerabilidad en alguno de nuestros productos o sus accesorios», con el objetivo de «identificar posibles debilidades y solucionarlas lo más rápido posible».
Para comunicar un fallo de ciberseguridad a Audi hay que escribir un correo electrónico a vulnerability@audi.de, e indicar nombre y datos de contacto, describir la vulnerabilidad de la manera más precisa y comprensible posible y, si es necesario, enviar un código de muestra. La marca no detalla qué tipo de recompensas ofrece a los investigadores a cambio de esos reportes.
Toyota/Lexus
Toyota Norte América tiene habilitado un programa de Bug Bounty en HackerOne -disponible a través de este enlace-. En el caso del fabricante japonés, parece que solo busca recibir vulnerabilidades relacionadas con los sitios web americanos de Toyota y Lexus, quedando excluidas aquellas que afecten a los vehículos. Tampoco indica qué recompensas reciben los hackers que participen en este programa.
