United pagó su primera recompensa por errores de una aerolínea en millas aéreas, no en efectivo

Dos meses después de que United Airlines lanzara un programa de recompensas por errores para premiar a los investigadores que informaran de fallos en el sitio web y las aplicaciones de la compañía, el investigador de seguridad Jordan Wiens recibió 1 millón de millas aéreas en la primera recompensa otorgada. Había enviado los detalles de un fallo de ejecución remota de código en el sitio web de la aerolínea, y el depósito apareció en su cuenta de millas.

United es la primera aerolínea en lanzar un programa de recompensas por errores, anunciado en mayo de 2015 tras las duras críticas por prohibir el embarque a un investigador de seguridad en uno de sus vuelos. La estructura de pagos es inusual: la mayoría de los programas de recompensas de proveedores pagan en efectivo entre 500 y 250.000 dólares, pero United paga solo en millas aéreas. El valor en efectivo del millón de millas de Wiens era de unos 25.000 dólares.

Las millas escalan según el error. El cross-site scripting (XSS) otorga 50.000 millas, una elusión de autenticación puede otorgar 250.000, y los fallos de ejecución remota de código —que permiten a un atacante ejecutar remotamente el código malicioso que quiera— obtienen el pago máximo. Wiens, que nunca antes había enviado un informe a un programa de recompensas por errores, dijo que envió dos errores que estaba bastante seguro de que eran de ejecución remota de código, pero que consideraba «flojos», esperando 50.000 millas o algo menor; tras confirmar que era ciudadano estadounidense y que su investigación se había realizado en Estados Unidos, United le dijo que revisara su cuenta de millas.

Pagar recompensas en una moneda que la propia aerolínea emite: un millón de millas se lee como unos 25.000 dólares y genera titulares, sin pagar efectivo del presupuesto de seguridad.

El programa convirtió una relación hostil en un canal de entrada: se anunció justo después de que United fuera criticada por prohibir el embarque a un investigador en un vuelo.

Las millas son un activo que United emite ella misma, por lo que una recompensa titular valorada en unos 25.000 dólares no cuesta efectivo, mientras que los programas rivales pagan hasta 250.000 dólares por error.

Valorar la gravedad en millas —50.000, 250.000, la recompensa máxima por ejecución remota de código— da a los investigadores un tipo de cambio público para saber qué errores vale la pena perseguir.

Funcionó en el primer contacto: un remitente primerizo de recompensas encontró un fallo de ejecución remota de código y recibió la primera recompensa del programa en los dos meses posteriores a su lanzamiento.

El valor titular de una recompensa y su costo para quien paga no tienen por qué coincidir: pague en un activo que usted mismo emita, mantenga la recompensa lo bastante grande para que importe y mantenga el efectivo fuera del acuerdo.

La recompensa de un millón de millas de Wiens fue la primera del programa, otorgada unos dos meses después del lanzamiento de mayo de 2015. United exigió a los remitentes confirmar su elegibilidad —ciudadanía estadounidense e investigación realizada en Estados Unidos— antes de pagar.