En el año 2011, dos holandeses con 20 años de edad diseñaron una lista de objetivos de 100 empresas de alta tecnología que tratarían de hackear. En poco tiempo habían encontrado fallos de seguridad en Facebook, Google, Apple, Microsoft, Twitter y otras 95 empresas.
Cuando alertaron a los ejecutivos de esas empresas, alrededor de un tercio de ellos ignoraron el aviso. Otro tercio les dió las gracias pero nunca solucionaron las vulnerabilidades, mientras que el resto resolvió sus bugs de seguridad. Afortunadamente para los jóvenes hackers informáticos, nadie llamó a la policía.
Ahora Michiel Prins y Jobert Abma, se encuentran entre los cuatro co-fundadores de esta plataforma tecnológica ubicada en San Francisco que pretende convertirse en mediadora entre las empresas con problemas potenciales de ciberseguridad y hackers como ellos.
Esperan que su equipo, HackerOne, pueda persuadir a otros hackers para informar responsablemente de fallos de seguridad, en lugar de explotarlos, y conecte los "white hats" con empresas dispuestas a pagar una recompensa por sus hallazgos.
En el último año, la puesta en marcha ha convencido a algunos de los grandes de la tecnología - incluyendo Yahoo, Square y Twitter - y empresas como bancos y compañías petroleras se han puesto al servicio de esta iniciativa.
También han convencido a los inversores de capital riesgo que conocedores de los miles de millones de dispositivos móviles en línea y las vulnerabilidades inevitables, han visto en HackerOne un potencial muy lucrativo.
HackerOne recibe una comisión del 20 por ciento de cada una de las recompensas pagadas a través de su servicio.
Las compañías tecnológicas comenzaron a gratificar a los hackers hace cinco años cuando Google empezó a pagar a los hackers $3,133.70 por bugs (31337 es el código de la "élite" hacker). Desde entonces, Google ha llegado a pagar la cifra de $150,000 para una sola recompensa y ha repartido más de $4 millones a los hackers.
Cerca de 1.500 hackers forman parte de la plataforma HackerOne. Se han fijado alrededor de 9.000 bugs y recibido más de 3 millones de dólares en recompensas.
Para las empresas que están empezando a considerar el programa de errores, HackerOne les ofrece una comunidad de hackers de buena reputación y se encarga de los trámites de gestión, incluyendo los formularios de impuestos y pagos.
Además, han creado el programa Internet Bug Bounty cuyo panel premiará la investigación en las vulnerabilidades con graves consecuencias para la seguridad pública: aquellas que estén presentes en las implementaciones de múltiples proveedores o un proveedor con una cuota de mercado dominante y un gran número de usuarios finales.
El programa "Internet Bug Bounty" está formado por un grupo de voluntarios expertos en seguridad siendo responsables de la definición de las reglas del programa, la asignación de recompensas y mediar cualquier desacuerdo que pueda surgir:
- Alex Rice, HackerOne
- Chris Evans, Tesla Motors
- Katie Moussouris, HackerOne
- Zane Lackey, Signal Sciences
- Jesse Burns, NCC Group
- Collin Greene, Uber
- Matt Miller, Microsoft
- Roman Porter, Microsoft
- Neal Poole, Facebook
- Kostya Kortchinsky, Google
- Peleus Uhley, Adobe
¿Cómo funciona HackerOne? (english):
Algunas de las empresas que forman parte de la plataforma Hackerone:
Square
Vimeo
Adobe
Snapchat
Dropbox
Mail.Ru
Slack
InVision
Flash
Secret
Yahoo!
The Internet
Phabricator
Ruby on Rails
Ruby
Python
Django
Nginx
OpenSSL
PHP
Perl
Apache httpd
HackerOne
Puedes ver el listado commpleto en Directory Report Vulnerabilities to Companies's Security Teams
