A United pagou sua primeira recompensa por bugs de companhia aérea em milhas aéreas, não em dinheiro

Dois meses depois de a United Airlines lançar um programa de recompensa por bugs para recompensar pesquisadores que relatam falhas no site e nos aplicativos da empresa, o pesquisador de segurança Jordan Wiens recebeu 1 milhão de milhas aéreas na primeira recompensa concedida. Ele havia enviado detalhes de uma falha de execução remota de código no site da companhia aérea, e o depósito apareceu em sua conta de milhagem.

A United é a primeira companhia aérea a lançar um programa de recompensa por bugs, anunciado em maio de 2015 após duras críticas por proibir um pesquisador de segurança de um de seus voos. A estrutura de pagamento é incomum: a maioria dos programas de recompensa de fornecedores paga em dinheiro, com valores que variam entre US$ 500 e US$ 250.000, mas a United paga apenas em milhas aéreas. O valor em dinheiro do milhão de milhas de Wiens era de cerca de US$ 25.000.

As milhas variam conforme o bug. Cross-site scripting rende 50.000 milhas, um bypass de autenticação pode render 250.000, e falhas de execução remota de código — que permitem a um atacante executar remotamente qualquer código malicioso que quiser — rendem o pagamento máximo. Wiens, que nunca havia enviado nada a um programa de recompensa por bugs antes, disse que enviou dois bugs dos quais tinha bastante certeza de que eram de execução remota de código, mas que considerou "fracos", esperando 50.000 milhas ou algo menor; depois de confirmar que era cidadão dos EUA e que sua pesquisa foi realizada nos EUA, a United lhe disse para verificar sua conta de milhagem.

Pagar recompensas em uma moeda que a própria companhia aérea emite: um milhão de milhas soa como cerca de US$ 25.000 e gera manchetes, sem gastar dinheiro do orçamento de segurança.

O programa transformou uma relação hostil em um canal: foi anunciado logo depois de a United ser criticada por proibir um pesquisador de um voo.

As milhas são um ativo que a própria United emite, então uma recompensa de manchete no valor de cerca de US$ 25.000 não custa dinheiro — enquanto programas rivais pagam até US$ 250.000 por bug.

Precificar a gravidade em milhas — 50.000, 250.000, prêmio máximo para execução remota de código — dá aos pesquisadores uma taxa de câmbio pública para saber quais bugs vale a pena buscar.

Funcionou no primeiro contato: um pesquisador que enviava um bug pela primeira vez encontrou uma falha de execução remota de código e recebeu a primeira recompensa do programa dentro de dois meses após o lançamento.

O valor de manchete de uma recompensa e seu custo para quem paga não precisam coincidir: pague em um ativo que você mesmo emite, mantenha a recompensa grande o suficiente para ter importância e mantenha o dinheiro fora do acordo.

O prêmio de um milhão de milhas de Wiens foi a primeira recompensa do programa, concedida cerca de dois meses após o lançamento em maio de 2015. A United exigiu que os submetedores confirmassem a elegibilidade — cidadania dos EUA e pesquisa realizada nos EUA — antes de efetuar o pagamento.