Google ha anunciado un nuevo programa de recompensas por abuso de datos así como la ampliación del programa de recompensas Google Play para incluir aplicaciones de Android con más de 100 millones de instalaciones.




Incluir todas las aplicaciones en Google Play con 100 millones o más de instalaciones. Estas aplicaciones ahora son elegibles para recompensas, incluso si los desarrolladores de la aplicación no tienen su propia divulgación de vulnerabilidad o programa de recompensa por errores. En estos escenarios, Google ayuda a revelar de manera responsable las vulnerabilidades identificadas al desarrollador de la aplicación afectada. Esto abre la puerta para que los investigadores de seguridad ayuden a cientos de organizaciones a identificar y corregir vulnerabilidades en sus aplicaciones. Si los desarrolladores ya tienen sus propios programas, los investigadores pueden obtener recompensas directamente de ellos además de las recompensas de Google.

Google Play Security Reward Program (GPSRP) 

Google sigue mejorando la seguridad de sus productos estrenando un nuevo programa de recompensas: Developer Data Protection Reward Program (DDPRP), y ampliando su Google Play Security Reward Program (GPSRP), que ahora incluirá todas las aplicaciones de Google Play con más de cien millones de instalaciones.

• Google Play Security Reward Program (GPSRP) 
• Developer Data Protection Reward Program (DDPRP)

• https://hackerone.com/googleplay

El cambio significativo es que todas estas aplicaciones serán elegibles para el pago de recompensas por errores, incluso si el editor de la aplicación no ejecuta su propio Bug Bounty Program.
Recientemente Google ha anunciado que ha triplicado, e incluso cuadruplicado algunas de las recompensas ofrecidas a través del GPSRP. La compañía dice que ha pagado más de 256.000 dólares en recompensas a través de este programa, incluidos 75.000 dólares solo en julio y agosto como resultado de estos incrementos.

En cuanto al programa DDPRP,  se está realizando en colaboración con HackerOne y está dirigido a problemas de abuso de datos en aplicaciones de Android, proyectos de OAuth y extensiones de Chrome. El objetivo del programa es recompensar a los investigadores que proporcionen “evidencias verificables e inequívocas de abuso de datos”.

Google ha explicado que este programa actualmente no tiene pautas claras de recompensa, pero un solo informe de abuso puede valer hasta 50.000 dólares.

1) RCE (Remote Code Execution) - $20,000

2) Theft of insecure private data - $3,000

3) Access to protected app components - $3,000

Hasta ahora, Google ha pagado más de $ 265,000 en recompensas a través de GPSRP, con aumentos de alcance y recompensa que han resultado en $ 75,500 en recompensas por errores solo en julio y agosto.

Developer Data Protection Reward Program (DDPRP)

• El programa de recompensa de protección de datos para desarrolladores

Google también lanzó el Programa de Recompensa de Protección de Datos para Desarrolladores (DDPRP) en colaboración con la plataforma HackerOne, un programa de recompensa por errores diseñado para recompensar a los investigadores que ayudan a "identificar y mitigar los problemas de abuso de datos en aplicaciones de Android, proyectos OAuth y extensiones de Chrome".

• https://hackerone.com/ddp_reward_program

DDPRP acepta contribuciones de hackers que deseen informar sobre todas y cada una de las aplicaciones que infrinjan las políticas del programa Google Play, Google API o Google Chrome Web Store Extensions.

El programa tiene como objetivo recompensar a cualquiera que pueda proporcionar evidencia verificable e inequívoca de abuso de datos, en un modelo similar al de otros programas de recompensa de vulnerabilidad de Google. En particular, el programa tiene como objetivo identificar situaciones en las que los datos del usuario se usan o venden inesperadamente, o se reutilizan de forma ilegítima sin el consentimiento del usuario


Fuentes:
https://www.itdigitalsecurity.es/vulnerabilidades/2019/09/google-extiende-su-programa-de-recompensas-para-proteger-los-datos
https://android-developers.googleblog.com/2019/08/expanding-bug-bounties-on-google-play.html