E-Ticaret sitelerinde bug bulduğunuzda bildirir misiniz istismar mı edersiniz?

Şöyle bir tweet gördüm;

tweet altında ise şöyle bir yanıt var:


Yanıtı veren kişi yaşını başını almış ve ironik olarak IT konusunda tecrübesi olan biri. 10 tane alabildiği için 10 tane almış. 100 tane olsa 100 tane alacakmış kendisi ifade ediyor. İşin garip yanı bayağı da destek görmüş bu fikir.

Forumda da bunu görüp bile bile istismar etmeye çalışacak onlarca kişi vardır eminim.

Ben de burada sormak istedim. Siz böyle durumlarda istismar (sömürü) mı edersiniz yoksa düzeltmeleri için iletişime geçmeye mi çalışırsınız? Ücretli ya da ücretsiz fark etmez o size kalmış.

Ben e-ticaret kısmında 10 yıldır varım ve müşterilerimiz çeşit çeşit sorunlar yaşıyor. Bazı durumlarda müşteriler kendince bug bulmuş yazılımsal olmasa da mantık hatalarını istismar ediyor ve satıcıları gerçekten zora sokabiliyorlar. Şahsen ben de bu işi yaptığım için çok can yakıcı istismar metotları biliyorum. Ama yapmıyorum. Yapmamak bir lütuf değil bu arada. Kişisel bir tercih. Sadece etik gözetmeye çalışıyorum. Fakat bunu yapan kişilerin sayısı da azımsanmayacak ölçüde. Demek ki toplumun önemli bir kısmı "ben olsam ben de kullanırım" diyor. Belki etiktir, ama bence değil. Bir satıcının hatasını görüp bile bile bunu almak başka bir boyut bence. Bariz hatalardan bahsediyorum, ufak tefek rakamlar ya da mantık hatalarından değil.

Bence tamamen yapı meselesi. İstismarı tercih eden de var bildirmeyi tercih eden de.

Vaaay milleti banlatmaca ha

Bu yaptığı hacker işlemi olarak sayılabilir, yaptığı normalde suç olarak bildirilebilir. Bir nevi hırsızlık.
İtiraz eden olacaktır, örnek ile açıklamak gerekirse: Bir market sahibi lavaboya gidiyor; kapısını açık bırakıyor, sende tam birşey alacaksın bakıyorsun adam yok. Alıyorsun gidiyorsun parasını vermiyorsun. Adamı bekleyip adamı uyarabilirsin, parasıyla alabilirsin. Belki adam sana onu hediye edecek kimsenin hakkına girmeyeceksin gibi.

Sadece bu tarz teknik konularda değil senaryodaki mantıksızlıklar yüzünden de satıcı bile isteye mağdur edilebiliyor. Siparişlerde gördüğüm kadarı ile bunu bile isteye yapan çok insan var. Teknik olan kısımda da "ben bilmiyordum, sepete ekledim, unutmuşum, tekrar girdiğimde satın aldım" diyebiliyor. Yasal olarak da engel çıkmıyor.

O twiti sabah bende gördüm
Zaten o açığı tespit edebilmek için ilk önce istismar etmek gerekmez mi?
Evet 2. defa yaparsa düşünmek gerekir ama ilk sefer istismar etmek test etmekten farksız.

Parayı seven melek gibi davranır para umurunda olmayan radara yakalanana kadar son sürat gider. Kısa ve öz.

Valla kim zafiyeti kullanır bilmem ama ben ülkemizdeki sitelerden birinde zafiyet bulursam uyarmamaya yemin ettim.
Neden derseniz bir çok siteyi bu konuda uyardım düzeltsinler diye adamlar ya geri dönüş yapmadı yada salakca dönüşler oldu.
Bir örnek vereyim geçmiş zaman da google ve diğer tarayıcılar entegreli bir tool yazarken toplu zafiyetleri listeliyordum yararlı bir şeyler yapmak için ülkemizdekileri de listeleyip sonra listelenen firmaların maileri bulup sistemlerinin hacklendiği ile ilgili mail attım.
Ama bildiğiniz elemanın biri gelmiş index çakmış ( !! PKK bayrağı çakmış siteye !!)
salağın biri girmiş linke "bu linkten pc mi mi hackledin" demez mi anladığım kadarı ile çalışanlarından biri buna söylemiş bilgisayarı hacklemiş olabilir diye ben böyle salak bir İT'ci görmedim. He bu sırada bu olay da ismi lazım değil bir fabrikası var firmanın ...
başka bir firma da adamların siteleri hacklenmiş uyarıyorsun neymiş bana dava açacakmış emin olun ülkemizde site sahiplerin çoğu teknoloji cahili ve ayrıca şunuda gördüm bir çok sistem patlamış durumda ve gelen geçen verileri yürütüyor adamları uyarıyorsun bakın sisteminizde zafiyet var adam cookie'den id numarası değiştirip Cari cari dolaşıyor CEVAP: ....... umursadıkları yok şimdi diyeceksiniz ülkede kvkk var var ama nerde kvkk kurumu eğer gündem olursa varlar her gün bir çok firma hacklenip muhasebe verileri vb. şifreleniyor fakat bütün crypto loker işi yapan hackerlar paylaşmıyor parasını alıyor yoluna devam ediyor sonra halk diyorki bunlar benim x marketimden aldığım çeyiz takımını nerden biliyor bilmiyor ki o firmaların hacklendiğini bilemez de zaten vb. vb.
lafın özü bizim web sistemleri kontrol edenler ve firmalar adam olmazz...

bug'ı bulmak araştırma evresi. (researching) yani bilgi toplama evresi. bu istismara girmiyor. bunu gördükten sonra kullanmak istismara giriyor. beyaz şapka, siyah şapka ve gri şapka meseleleri olan garibim satıcıya oluyor her halükarda.

Hocam senin dediğine lafım yokta sıradan sade vatandaş olduğunu varsay..
Bug bulacağım diye oturup araştırmaz ki.
Adam sepete ekledi. Haftalar sonra bir baktı aynı fiyat. Sıradan vatandaş olsa düşünmeden satın alır Yani birazcık basit düşünürsek.
Evet bu sektörden biri yaparsa istismara girer.