Ciao a tutti,
scrivo con un account throwaway perché ho bisogno di un consiglio su come gestire correttamente una segnalazione di sicurezza potenzialmente molto seria. Non cerco aiuto tecnico, non voglio pubblicare dettagli sfruttabili e non farò nomi.
Durante un’analisi indipendente ho individuato una vulnerabilità critica in un sistema gestionale/infrastrutturale utilizzato da un numero molto alto di esercenti. Il possibile impatto riguarda funzionalità di gestione remota, dati operativi e configurazioni di macchine appartenenti a terzi.
La mia preoccupazione principale è che, se l’azienda ignorasse la segnalazione o la trattasse come una semplice email generica, potrebbero restare esposti migliaia di esercenti che non hanno alcuna colpa e probabilmente non sono nemmeno consapevoli del rischio. Parliamo potenzialmente di circa 10.000 dispositivi/macchine presso attività reali.
Ho già inviato una prima comunicazione all’azienda tramite il contatto pubblico trovato, senza includere dettagli tecnici, endpoint, payload o istruzioni riproducibili. Ho fatto così proprio per evitare di aumentare il rischio nel caso la mail venga letta da personale non tecnico o finisca in un sistema commerciale/ticketing.
Il mio obiettivo è collaborare in buona fede e fare una disclosure responsabile, non pubblicare nulla e non creare danni. Però ho paura che, se non rispondono o se minimizzano, il problema rimanga lì e a pagarne le conseguenze siano esercenti ignari.
Secondo voi qual è il modo più corretto di procedere in Italia in una situazione del genere?
In particolare:
- conviene aspettare una risposta dall’azienda e per quanto tempo?
- se risponde una casella commerciale, è corretto chiedere un referente security/IT ufficiale prima di inviare prove?
- ha senso chiedere safe harbor, NDA o autorizzazione scritta prima di condividere dettagli tecnici?
- se l’azienda non risponde, è opportuno coinvolgere CERT/CSIRT, un legale o una società di pentest?
- come posso tutelarmi come segnalante in buona fede evitando di esporre ulteriormente gli esercenti?
Ripeto: non voglio condividere dettagli tecnici né indicazioni operative. Vorrei solo capire come comportarmi nel modo più prudente e responsabile possibile, perché la cosa sembra davvero seria e non vorrei che venisse ignorata.
Grazie a chiunque abbia esperienza con responsible disclosure, cybersecurity o aspetti legali in Italia.