Als ethische hackers een kwetsbaarheid vinden in de software- of webtoepassing van een bedrijf en dat rapporteren, dan blijft die melding dikwijls zonder gevolg. Doorgaans ook omdat er bij de betreffende organisatie geen procedure is voor dergelijke securitymeldingen.
Dat alles blijkt uit een onderzoek van Intigriti, een platform van ethische hackers, bij hun leden. Ongeveer duizend hackers namen deel aan het onderzoek. Meestal gaan zij gericht op zoek naar kwetsbaarheden, op vraag van klanten. Maar soms komen zij dergelijke kwetsbaarheden ‘onderweg’ tegen. Zoiets blijkt regelmatig voor te vallen. ‘Ruim zeventig procent van de hackers, onder wie ikzelf, gaf aan om ooit al zo’n lek ‘in het wild’ gevonden te hebben. Om dat vervolgens te melden bij de betreffende organisatie’, vertelt Inti De Ceukelaire, hacker community manager bij Intigriti.
Alleen blijkt zo’n melding niet altijd even eenvoudig. Zeker niet als een responsible disclosure, die zo’n melding mogelijk maakt, ontbreekt bij de betreffende organisatie.
Klantendienst
Uiteindelijk rapporteren de hackers zo’n melding wel. Vaak via de klantendienst van het bedrijf. Meer dan de helft (54 procent) rapporteerde op die manier zo’n lek. ‘We zien dat zo’n melding daar vaak verloren gaat. Soms omdat ze daar als spam wordt beschouwd, of omdat medewerkers de betreffende hacker niet geloven, dat gebeurt ook’, stelt De Ceukelaire.
Wat is dan de effectiefste manier om iets te laten fixen? ‘Dat zal je niet verwonderen. Dat zijn sociale media als LinkedIn. Al is dat op zich gek, want meestal komen zulke meldingen dan niet rechtstreeks bij de juiste persoon terecht, maar zijn er anderen – vaak buitenstaanders – die het eerst zien.’
Eén op drie
Met als gevolg van dit alles dat in één op drie gevallen zo’n melding rond kwetsbaarheid zonder gevolg blijft, en dus niet wordt opgelost. ‘Dat is best een hoog aantal. Al verbetert het licht’, weet hij. ‘Vroeger was dat meer dan de helft. Onder meer de komst van de GDPR-wetgeving heeft dit doen verbeteren. Organisaties zijn hierdoor meer bekommerd geraakt om hun data, en zeker van die van hun klanten.’
