Reporter une faille en France...

Aucune loi ne protège la personne qui reporte.

La loi (chapitre III du code pénal, article 323-1 à 323-7) :

Citation

Le fait d'introduire frauduleusement des données dans un système de traitement automatisé ou de supprimer ou de modifier frauduleusement les données qu'il contient est puni de cinq ans d'emprisonnement et de 75000 euros d'amende.

Lorsque cette infraction a été commise à l'encontre d'un système de traitement automatisé de données à caractère personnel mis en œuvre par l'Etat, la peine est portée à sept ans d'emprisonnement et à 100 000 € d'amende. 

Il y a un service de l'ANSSI pour reporter les failles anonymement mais à partir du moment où tu as testé la dangerosité de la faille, ils peuvent te retrouver sur les logs et les propriétaires peuvent porter plainte contre la personne qui reporte. Concrètement, pour les pentesteurs éthiques ne comptant pas exploiter la faille, ne pas reporter la faille est moins risqué que prévenir le webmaster. C'est vraiment dommage.

P.S. : Je parle ici des failles trouvées sur des organismes lamba ne disposant pas de programme de bug bounty.

il y a 7 minutes, lovesh a dit :

putain merci de l'info faut demander des rançons maintenant x)) sinon on expose tout mdr

Attention à bien être anonyme et à avoir un moyen de faire pression impatchable. Si c'est le cas, tu es bien plus rentable qu'uniquement reporter la faille (au mieux un "merci", sinon => risque de poursuite judiciaire).

Sur le même sujet :

Ils y expliquent vraiment de A à Z comment report une faille en prenant le moins de risques.