Recebeu um e-mail?
Você recebeu um e-mail nosso
Encontramos um problema de segurança que afeta um sistema registrado em nome da sua organização e entramos em contato para avisar. Esta página explica quem somos, como confirmar que a mensagem é legítima e o que fazer em seguida.
Nunca vamos pedir pagamento, credenciais ou acesso aos seus sistemas. Se uma mensagem que diz vir de nós pedir qualquer uma dessas coisas, ela não é nossa.
Como confirmar que o e-mail é legítimo
Nossos avisos vêm de um endereço terminado em @csirt.global. Pode ser
inquiries@csirt.global, um endereço de caso como CG-2024-00001@csirt.global ou o endereço pessoal
na CSIRT.global de quem está cuidando do caso.
Confira o domínio do remetente com atenção. Fique atento a grafias parecidas, como
csirt-global.com ou cslrt.global. Se o domínio não for exatamente csirt.global, trate a
mensagem como suspeita.
Todo caso que abrimos é publicado em nosso registro de casos, com a data, a vulnerabilidade e as pessoas envolvidas na pesquisa. Se o e-mail citar um número de caso, você pode procurá-lo lá.
Você também pode falar direto com a gente, usando um endereço encontrado aqui e não um tirado do e-mail: inquiries@csirt.global.
O que fizemos
Varremos a internet pública em busca de sistemas afetados por vulnerabilidades conhecidas e de credenciais expostas em lugares de acesso público. Quando encontramos alguma, identificamos quem é responsável e entramos em contato.
Nós não acessamos seus dados, não exploramos a vulnerabilidade e não alteramos nada nos seus sistemas. Onde foi preciso confirmar um achado, fizemos isso com a menor interação possível e com verificações não ofensivas. Nosso Código de Conduta define os limites em que trabalhamos, e estamos vinculados a eles.
Fazemos isso porque uma vulnerabilidade não comunicada acaba sendo encontrada mais cedo ou mais tarde, em geral por alguém com piores intenções. Somos uma fundação sem fins lucrativos conduzida por voluntários. Ninguém nos paga para entrar em contato com você, e não estamos vendendo nada.
O que fazer em seguida
- Confirme o remetente, com as verificações acima.
- Leia o achado. O e-mail descreve o host afetado e o problema específico.
- Corrija ou mitigue. Quando existe correção ou solução alternativa, nós a incluímos.
- Responda se precisar. Se algo não estiver claro, se você não for a pessoa responsável ou se quiser ajuda, é só dizer. A resposta também confirma que a mensagem chegou a quem devia.
A correção é responsabilidade sua e continua sob o seu controle. Nós comunicamos; não intervimos.
Se quiser que continuemos de olho
Algumas organizações pedem que as varramos com regularidade, em vez de esperar que encontremos algo. Entidades sem fins lucrativos e ONGs também podem ser indicadas para um programa de bug bounty totalmente financiado. Os dois são gratuitos.