El último programa de recompensas del Departamento de Defensa de los Estados Unidos ha expuesto más de 100 vulnerabilidades por valor de 80.000 dólares. Su descubrimiento deriva del análisis del sistema de reserva de viajes por parte de hackers.

Al igual que en casos de entidades tan dispares como Intel y el Proyecto Tor, la plataforma utilizada para realizar el programa de recompensas ha sido HackerOne. Por otro lado, no es la primera vez que es utilizada para intentar hallar las vulnerabilidades presentes en las infraestructuras computacionales de agencias, departamentos y organismos públicos de Estados Unidos.

El programa que nos ocupa, el del sistema de viajes, tuvo como objetivo intentar hackear el Sistema de Viaje de Defensa (DTS), utilizado por millones de empleados del pentágono alrededor de todo el mundo. Debido a su envergadura, se trata de uno de los software empresariales de mayor alcance de la administración estadounidense, por lo que su seguridad y fiabilidad están lejos de ser un tema baladí para un país que invierte mucho tanto en defensa como en política exterior. Reina Staley, Jefa de Personal y del programa Hack the Pentagon (Hackea el Pentágono), ha comentado que “asegurar la información confidencial para millones de empleados y contratistas del gobierno no es tarea fácil”, porque debido a que los sistemas informáticos están creados por humanos, ninguno de estos es infalible ni invulnerable.

Sobre el programa, solo participaron 19 hackers previamente investigados que encontraron 65 vulnerabilidades únicas, de las cuales 28 fueron considerados de gravedad alta o crítica. La mayor recompensa ha sido de 5.000 y fue dada en ocho ocasiones. Un punto a tener en cuenta es que se trata del segundo programa en permitir la ingeniería social como parte de la búsqueda de fallos.

La ciberseguridad se ha convertido en un punto que cada vez preocupa a más gente, y no solo a usuarios finales. Hasta que se descubran métodos mejores, de momento los programas de recompensas se han convertido en una de las mejores maneras para conocer las debilidades antes de que sean explotadas por actores maliciosos.

Fuente: CyberScoop