Durante años, Google ha pagado a los investigadores y expertos independientes que detecten nuevas vulnerabilidades en sus productos. La política no se aplica únicamente a los sistemas operativos Chrome OS y Android, sino también a productos y servicios online, disponibles vía google.com, youtube.com y blogger.com. Google también ha anunciado iniciativas independientes para algunos de sus productos, como por ejemplo una recompensa de USD 200.000 ofrecida en 2016 para quien lograse vulnerar el smartphone Nexus.
Para el caso de los productos basados en la web, las recompensas han estado limitadas a 20.000 dólares para el caso de vulnerabilidades críticas. Esta semana, la empresa han incrementado los pagos por las vulnerabilidades más graves, cuando estas hagan posible la ejecución de código aleatorio o habiliten el acceso ilimitado sistemas de archivos o bases de datos.
La mayor compensación posible ha sido reajustada de los USD 20.000 señalados a USD 31.337, mientras que los pagos por notificaciones de acceso a archivos o bases de datos aumenta de USD 10.000 a USD 13.337.
Los importes no son casuales y Google los explica en ésta página. Google explica que el reajuste obedece a que con el paso del tiempo ha sido cada vez más difícil encontrar vulnerabilidades y que por ello los investigadores deben dedicar más tiempo a detectarlos. “Queremos mostrar que valoramos el tiempo considerable que los investigadores dedican a nuestro programa VPR (Vulnerability Reward Program), por lo que hemos decidido reajustar los importes“, escribe Josh Armour, security program manager de Google en el blog de la empresa.
En 2016, China fue el país que presidió las estadísticas de individuos que recibieron recompensas de Google por haber detectado y notificado responsablemente las vulnerabilidades.
En cuanto a número de individuos que han notificado a Google sobre las vulnerabilidades en soluciones web, Android o Chrome, China rebasó en 2016 a Alemania, India y Estados Unidos, pasando así a ocupar el primer lugar. Este dato no deja de llamar la atención, considerando que Google no tiene oficinas ni tampoco ofrece productos o servicios en China.
Al considerarse los importes pagados, Google transfirió USD 675.000 a participantes chinos en el programa VPR. En segundo y tercer lugar se ubican Rusia y Polonia, con USD 351.000 y USD 341.000, respectivamente. Gran parte de las notificaciones de vulnerabilidades recibidas por Google son rechazadas.
Microsoft
Microsoft, por su parte, también ha reajustado sus recompensas con efecto a partir del 1 de mayo. Todos los importes serán doblados y los pagos oscilan entre USD 1.000 y USD 30.000 por vulnerabilidades detectadas en Exchange Online y Office 365 Admin Portal. Ambos servicios son componentes esenciales de la plataforma Office 365.
