TL; DR : Es ist wahrscheinlich gut gemeint und kein Betrug, aber nur schlecht geschrieben.

Ich kenne keine Art von Betrug, der darauf basieren würde dazu. Sicherlich gab es Versuche, Websitebesitzer für Geld zu erpressen, basierend auf dem Wissen über Website-Schwachstellen (und der impliziten Bedrohung, diese auszunutzen), aber das sieht hier nicht so aus.

Es ist nicht sehr gut -geschriebene Offenlegungs-E-Mail. Ich bin sicherlich schon einmal auf Sicherheitslücken gestoßen (offensichtlich wäre der Versuch, sie auf einer Site auszunutzen, die keine Erlaubnis erteilt hat, illegal, aber es gibt einige, die offensichtlich sind, ohne eine Ausnutzung zu versuchen) und habe E-Mails mit der gleichen Absicht wie die gesendet Autor oben, aber ich versuche, alle Details in der ersten E-Mail anzugeben. Ich möchte, dass hilft. Ich möchte nicht, dass im E-Mail-Land hin und her springt.

Wenn ich es wäre, würde ich sie nach Details fragen: Welche Seite (oder Seiten) enthalten die Sicherheitslücken? Welche Parameter sind injizierbar und ob sie einen Proof of Concept teilen könnten? Wenn Sie mit XSS nicht vertraut sind, empfehlen wir Ihnen, die OWASP-Seite zur Sicherheitsanfälligkeit zu lesen. Es ist sowohl sehr verbreitet und kann je nach Kontext kritisch sein. Ein typischer Proof of Concept (PoC) für XSS ist weder für Sie noch für Ihre Site gefährlich, sondern öffnet beispielsweise ein JavaScript-Warnfeld, das den Hostnamen der Site, Ihre Sitzungsköche oder sogar nur die Nummer 1 enthält. Alle diese zeigen, dass ein böswilliger Angreifer möglicherweise Javascript auf Ihrer Site ausführt, was erhebliche Auswirkungen auf die Sicherheit Ihrer Site haben würde.

Wie einige bereits betont haben, ist dies auch möglich Mangel an Informationen ist, dass sie es "käfig" spielen und nach einer Belohnung / Zahlung suchen. Wenn auf Ihrer Website keine Bug Bounty veröffentlicht wurde, sind Sie natürlich nicht dazu verpflichtet.

Scheint kein Betrug zu sein, obwohl es sich aufgrund fehlender Details möglicherweise um eine Art Massenmailing handelt. Vielleicht braucht ein Typ Geld, führt Nessus auf einer Reihe von Websites aus und sucht jetzt nach einer kleinen Belohnung von jedem?

Ich würde Nessus (oder einen anderen Scanner) selbst ausführen, um dies zu überprüfen, und dann den Typen kontaktieren und fragen Sie nach Details. Beantworten Sie ehrlich seine Frage zu Fehlerbelohnungen. Wenn Sie ein Bug-Belohnungsprogramm ausführen und er eines gefunden hat, sollte er seine Belohnung erhalten. Dafür ist das Programm gedacht, oder? Wenn Sie dies nicht tun, erklären Sie einfach, dass Sie dies nicht tun, sind aber trotzdem dankbar für sein Heads-up.

Dies wird als Angstmarketing oder Angstappell bezeichnet. Es ist eine Marketingmethode, die Angst als Auslöser für Aktion verwendet.

https://en.wikipedia.org/wiki/Fear_appeal

Die E-Mail enthält die 3 Grundphasen von Angst Appell .

1. stellen ein Risiko dar.
2. stellen eine Anfälligkeit für das Risiko dar.
3. schlagen eine Schutzmaßnahme vor.
ol>

Dies wird im Allgemeinen als unethisch angesehen.

Ich weise nur auf diesen Aspekt hin, da es sich bei der E-Mail um eine handelt unaufgeforderter Versuch, mit Angst eine Antwort zu bekommen. Es ist die Tatsache, dass der Absender die Details des Problems völlig ausgelassen hat. Sie müssen sie kontaktieren, um eine Antwort zu erhalten, und sie haben bereits angegeben, dass sie ein Zeichen der Wertschätzung erwarten.

Wenn ein Betrüger fischen nach Opfern müssen sie zuerst eine Liste möglicher Ziele qualifizieren . Sein / ihr Betrug beinhaltet Angst als Auslöser für Maßnahmen. Wenn Sie darauf reagieren, qualifizieren Sie sich als Person, die auf Angst -Taktiken reagiert.

Das ist es wahrscheinlich eskalieren sie die Schwere des Problems, bis ein Handel für Details über die Sicherheitslücke abgeschlossen werden kann. Er / sie wird höchstwahrscheinlich die Zahlung per Bitcoin für die Informationen anfordern.

Ein echter professioneller Sicherheitsberater hätte vollständige Kontaktdaten, Postanschrift und Telefonnummer ihrer Beratungsdienste. Sie hätten auch die Vorteile ihrer Dienstleistungen erwähnt. In dieser E-Mail wird nur das Risiko erwähnt, dass nicht geantwortet wird.

Der beste Ansatz für die Bearbeitung dieser E-Mail besteht darin, sich an einen kreditwürdigen Sicherheitsberater, und beauftragen Sie sie, die Ansprüche zu untersuchen.

Es muss kein Betrug sein, aber ich würde der Person, die Sie kontaktiert hat, trotzdem nicht vertrauen:

• Sie erklären, eine Sicherheitslücke gefunden zu haben, legen aber nicht den geringsten Beweis vor
• Sie sagen, dass es schlimm genug für Sie ist, einem Risiko ausgesetzt zu sein, aber lassen Sie sich ausgesetzt, bis Sie sie kontaktieren >

  Natürlich möchten Sie diesen Personen Ihre Online-Sicherheit nicht anvertrauen. Wenn Sie sich von ihnen bei dieser Sicherheitsanfälligkeit helfen lassen, wissen sie viel mehr über Ihr System als jetzt. Wenn Sie jemals entscheiden, dass Sie ihre Dienste nicht benötigen, woher wissen Sie, dass die nächste Sicherheitslücke, die sie finden, nicht auf dem Exploit-Markt landet?

  Wenn Ihre Website kommerziellen Wert hat, würde ich auf jeden Fall um Hilfe bitten Sicherheitsexperten in Ihrem Unternehmen, möglicherweise Ihrem Hosting-Anbieter, oder stellen sogar jemanden ein, der glaubwürdiger ist, um eine Sicherheitsüberprüfung durchzuführen.

Eine ähnliche E-Mail wurde an einen meiner Kunden gesendet, der behauptete, er habe eine SSL-Sicherheitsanfälligkeit, mit einem Angebot zur Behebung. Dieser Client verwendet kein SSL, daher war es in diesem Fall ein offensichtlicher Betrug. Es gibt mehrere E-Mails dieses Typs.

Ich denke, der beste Ansatz wäre, zu antworten und zu fragen, ob die Person, die die E-Mail geschrieben hat, nachweisen kann, dass sie wirklich in der Lage ist, übermäßig auf Ihren Internetdienst zuzugreifen.

Sie können ihm die Erlaubnis geben, Ihren Dienst nur für zerstörungsfreie Demonstrationszwecke zu nutzen, da dies im Allgemeinen als illegaler, nicht autorisierter Zugriff für ihn angesehen wird, auch wenn dies nichts anrichtet. Nachdem sein Angriff erfolgreich war, können Sie über Geschäfte sprechen.

Das Gesetz über den unbefugten Zugriff auf einen Computerdienst in den USA ist sehr vage, berücksichtigt keinen Schaden oder die Absicht, Schaden zu verursachen, und kann technisch angewendet werden fast alles. Dies könnte ihn davon abhalten, seinen Angriff zu demonstrieren, obwohl es vernünftig erscheint, dies zu tun.

Führen Sie einen Scan auf Ihrer Website durch und finden Sie es selbst heraus. XSS-Probleme sind sehr häufig. Sie können OSSIM erhalten, das kostenlos ist und OPENVAS, einen Schwachstellenscanner, enthält. Sie können OSSIM in Virtualbox oder einem anderen Virtualisierungssystem ausführen. Scannen Sie dann die öffentliche IP-Adresse Ihrer Website und Sie erhalten einen vollständigen Bericht.