¿Un correo nuestro?
Has recibido un correo nuestro
Hemos encontrado un problema de seguridad en un sistema registrado a nombre de tu organización y nos hemos puesto en contacto contigo. En esta página explicamos quiénes somos, cómo comprobar que el mensaje es auténtico y qué puedes hacer ahora.
Nunca te pediremos pagos, credenciales ni acceso a tus sistemas. Si un mensaje que dice venir de nosotros pide alguna de esas cosas, no es nuestro.
Cómo comprobar que el correo es auténtico
Nuestros avisos vienen de una dirección terminada en @csirt.global. Puede ser
inquiries@csirt.global, una dirección de caso como CG-2024-00001@csirt.global, o la dirección
personal de CSIRT.global de la persona que lleva el caso.
Revisa con atención el dominio del remitente. Fíjate en grafías parecidas como csirt-global.com o
cslrt.global. Si el dominio no es exactamente csirt.global, trátalo como sospechoso.
Cada caso que abrimos se publica en nuestro registro de casos, con la fecha, la vulnerabilidad y las personas que investigaron. Si nuestro correo menciona un número de caso, puedes consultarlo ahí.
También puedes escribirnos directamente, usando una dirección que hayas encontrado aquí y no una sacada del correo: inquiries@csirt.global.
Qué hicimos
Rastreamos la internet pública en busca de sistemas afectados por vulnerabilidades conocidas y de credenciales expuestas en lugares de acceso público. Cuando encontramos alguno, averiguamos quién es responsable y nos ponemos en contacto.
No accedimos a tus datos, no explotamos la vulnerabilidad ni modificamos nada en tus sistemas. Cuando tuvimos que confirmar un hallazgo, lo hicimos con la mínima interacción posible y sin código de ataque. Nuestro Código de conducta establece los límites en los que trabajamos, y nos obligan.
Lo hacemos porque las vulnerabilidades que no se comunican acaban encontrándose igualmente, casi siempre por alguien con peores intenciones. Somos una fundación sin ánimo de lucro dirigida por voluntarios. Nadie nos paga por escribirte y no vendemos nada.
Qué puedes hacer ahora
- Comprueba el remitente, con los pasos de arriba.
- Lee el hallazgo. El correo describe el sistema afectado y el problema concreto.
- Corrígelo o reduce el riesgo. Cuando existe un parche o una solución temporal, la indicamos.
- Responde si hace falta. Si algo no queda claro, si no eres la persona indicada o si quieres ayuda, dínoslo. Una respuesta confirma además que el mensaje llegó a quien debía.
La corrección es responsabilidad tuya y sigue estando en tus manos. Nosotros avisamos; no intervenimos.
Si quieres que sigamos vigilando
Algunas organizaciones nos piden que las escaneemos con regularidad, en lugar de esperar a que encontremos algo. Las entidades sin ánimo de lucro y las ONG también pueden proponerse para un programa de bug bounty totalmente financiado. Ambas cosas son gratuitas.