Ask HN: I hacked an ecommerce website, what do I do now?

Unfortunately, they don't have one. Their development and security practices are straight from the 1990s, I don't think they even have someone reponsible for these areas anymore.

I'm at a loss because I've got the feeling that they are no technical people at all. I feel for them because I know the pains of selling online and I don't want to wreck the livelihood of these people.

Unfortunately, they don't seem to be technically oriented, their website was built in 1997... I'm not that risk averse and I'd like to help them to improve their security and development practices, I'm aiming to get in touch with them without compromising myself if they react badly.

That's exactly the kind of childish answer I'd like to avoid if I disclose the security vulnerability ;-)

I agree with this 100%. If you absolutely must disclose the vulnerability to them, consult with a lawyer. Otherwise, forget it ever happened.

EDIT: Depending on what potentially-logged http requests your curiosity lead you through, you may want to pursue the former.

I would even suggest that the lawyer contact the company on your behalf without revealing your identity. I've seen these things go sideways and if you really want to disclose, make sure your identity remains anonymous until they explicitly agree not to pursue any legal action. I'll also add that they might behave irrationally - it can take many forms (denial of a security issue, legal action, defamation of character). But I might be a bit cynical as well, been down this road in the past.

Just use a throwaway/instant email and simply state whats up. No need to go looking for awards or recognition for finding vulns.

Oui, article 323-1 du Code Pénal: https://www.legifrance.gouv.fr/affichCode.do?idSectionTA=LEG...

La dernière modification du 25/7/2015 renforce les sanctions (donc inutile d'espérer plus d'intelligence et de compréhension de la Loi)...

Article 323-1: "Le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données est puni de deux ans d'emprisonnement et de 60 000 € d'amende. [...]"

En l'occurence, il s'agit d'accès frauduleux...

Article 323-3: "Le fait d'introduire frauduleusement des données dans un système de traitement automatisé, d'extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu'il contient est puni de cinq ans d'emprisonnement et de 150 000 € d'amende. [...]"

Ca, c'est pour les données que tu as pu récupérer...

Et bonus, l'article 323-5: "Les personnes physiques coupables des délits prévus au présent chapitre encourent également les peines complémentaires suivantes :

1° L'interdiction, pour une durée de cinq ans au plus, des droits civiques, civils et de famille, suivant les modalités de l'article 131-26 ;

2° L'interdiction, pour une durée de cinq ans au plus, d'exercer une fonction publique ou d'exercer l'activité professionnelle ou sociale dans l'exercice de laquelle ou à l'occasion de laquelle l'infraction a été commise ;

3° La confiscation de la chose qui a servi ou était destinée à commettre l'infraction ou de la chose qui en est le produit, à l'exception des objets susceptibles de restitution ;

4° La fermeture, pour une durée de cinq ans au plus, des établissements ou de l'un ou de plusieurs des établissements de l'entreprise ayant servi à commettre les faits incriminés ;

5° L'exclusion, pour une durée de cinq ans au plus, des marchés publics ;

6° L'interdiction, pour une durée de cinq ans au plus, d'émettre des chèques autres que ceux qui permettent le retrait de fonds par le tireur auprès du tiré ou ceux qui sont certifiés ;

7° L'affichage ou la diffusion de la décision prononcée dans les conditions prévues par l'article 131-35."

Pour toi, ce sera peut être #1, #2, #3, #6, #7

Je ne sais pas si c'est tout ce que tu encours... ou s'il y a d'autres articles de loi ailleurs. Mais je vais regarder par curiosité!!! En tout cas, tant que la loi ne changera pas, les sites web français pourront continuer à être de véritables passoires!!! :'(

A noter, l'article 323-3-1 "Le fait, sans motif légitime, notamment de recherche ou de sécurité informatique, d'importer, de détenir, d'offrir, de céder ou de mettre à disposition un équipement, un instrument, un programme informatique ou toute donnée conçus ou spécialement adaptés pour commettre une ou plusieurs des infractions prévues par les articles 323-1 à 323-3 est puni des peines prévues respectivement pour l'infraction elle-même ou pour l'infraction la plus sévèrement réprimée."

Tel que je le comprends, si tu transmets un bug report à HackerOne... ben... tu morfles aussi!!! Parce que je doute que tu puisses te prévaloir du "motif légitime" de "sécurité informatique" puisque tu n'es pas dans le cadre d'une prestation spécifique de sécurité pour un client.

Et le coup de grace (http://www.thierryvallatavocat.com/2017/07/vol-de-fichiers-i... ):

"On rappellera qu'en l’état de la jurisprudence de la Cour de cassation, et notamment de son arrêt du 9 septembre 2009, tout accès non autorisé à un système constitue un trouble manifestement illicite alors même que cela peut permettre d’éviter des atteintes ultérieures aux données ou au fonctionnement du système.

C'est ainsi que le hacker Bluetouff avait fait l'objet d'une condamnation par la Cour d’appel de Paris le 5 février 2014, la Cour de cassation confirmant cette position dans son arrêt de la Chambre criminelle du 20 mai 2015 : mais il s'agissait alors d'un système informatique extérieur librement accessible."

Donc logiquement, le simple accès frauduleux te fait aussi tomber sous le coup de l'Article 323-2 : "Le fait d'entraver ou de fausser le fonctionnement d'un système de traitement automatisé de données est puni de cinq ans d'emprisonnement et de 150 000 € d'amende."

Qu'il y ait eu un impact réel ou pas, c'est ce qui a été jugé en cassation... Ne me remercie pas, c'est cadeaux!!! :''(