Google ha anunciado oficialmente la ampliación de su programa de recompensas por errores. Los investigadores podrán ahora ganar dinero detectando usos indebidos de los datos de los usuarios e identificando vulnerabilidades en las aplicaciones de Android con más de 100 millones de instalaciones.
Programa de recompensas para la protección de los datos de los desarrolladores (DDPRP)
La primera novedad será el programa DDPRP, en el que los especialistas en seguridad de la información podrán informar de casos de abuso de datos de los usuarios. Estos problemas pueden encontrarse en aplicaciones de terceros con acceso a la API de Google, en las aplicaciones de Android de Google Play Store, así como en las aplicaciones y extensiones de Chrome Web Store.
“El objetivo de este programa es animar a todos los que puedan aportar pruebas fiables e inequívocas de uso indebido de datos”, declaró Google. «Este programa pretende, en particular, identificar situaciones en las que los datos de los usuarios se utilizan o venden de forma inesperada, así como se reutilizan ilegalmente sin el consentimiento del usuario.»
Los profesionales de la seguridad de la información que detecten casos de abuso de datos tendrán derecho a una recompensa de hasta 50 000 dólares.
En este caso, Google sigue el ejemplo de Facebook. En abril de 2018, tras un escándalo relacionado con Cambridge Analytica y el uso indebido de datos de usuarios, la red social actualizó su programa de recompensas por errores para que las personas que descubran un uso indebido de este tipo en una aplicación de terceros puedan recibir hasta 40 000 $ en recompensas.
Permítanme recordarles que a principios de este mes, Facebook amplió la acción de este programa a Instagram tras otro desagradable incidente relacionado con Hyp3r. En efecto, a principios de agosto de 2019, Hyp3r, socio publicitario de Instagram, fue declarado culpable de recopilar datos de usuarios para la posterior elaboración de perfiles publicitarios. Hyp3r recopiló y almacenó en secreto millones de historias de usuarios, imágenes, datos de geolocalización, biografías, intereses, etc. Como resultado, Facebook bloqueó a Hyp3r por infringir las normas de la plataforma.
Recompensas por errores para las grandes aplicaciones
Otro anuncio interesante de Google es un programa de recompensas por todos los errores encontrados en las aplicaciones grandes de Google Play Store. Los investigadores podrán ahora buscar vulnerabilidades en cualquier aplicación cuyo contador de instalaciones haya superado los 100 millones e informar de los problemas a Google. En este caso, los desarrolladores de estas aplicaciones no necesitan registrarse específicamente ni tomar otras medidas.
Los informes sobre vulnerabilidades se recibirán a través del GPSRP de seguridad de Google Play en la plataforma HackerOne, y luego se transmitirán a los desarrolladores de las aplicaciones. Si no logran corregir los errores identificados, Google eliminará las aplicaciones de Play Store.
Curiosamente, los principales desarrolladores como Facebook, Microsoft o Twitter, que tienen sus propios programas de recompensas por errores, no están excluidos del GPSRP. Además, Google afirma que los investigadores pueden informar de los errores dos veces: a través del GPSRP y directamente a través de los programas de recompensas por errores de las propias empresas, lo que les permite ganar el doble de recompensas.
Aunque a primera vista parezca que Google paga de su bolsillo los errores de las aplicaciones de terceros y que no tiene sentido, la compañía explica que en realidad es práctico y rentable. El caso es que el GPSRP se lanzó en 2017, pero no tuvo mucha popularidad: hasta ahora, Google solo había pagado 265 000 USD a los investigadores, aunque el programa ya incluía varias aplicaciones populares (seleccionadas manualmente por Google).
Google explica que todos los informes de vulnerabilidades recibidos en los últimos tres años no han sido en vano. Todos los informes de errores se han catalogado e incluido en un sistema que analiza automáticamente las aplicaciones de Google Play Store en busca de problemas similares. Si se detecta un error, los desarrolladores de la aplicación vulnerable reciben una advertencia a través de la consola de Google Play y tienen la opción de solucionar el problema, o sus aplicaciones se eliminan del catálogo. Este sistema se llama App Security Improvement (ASI) y, según la compañía, ya ha ayudado a 300 000 desarrolladores a reparar más de 1 000 000 de aplicaciones en Google Play.
