De meeste hackers verwachten bij het melden van een beveiligingslek in een website of systeem geen beloning. Wel verwachten ze enige vorm van communicatie. Dat blijkt uit onderzoek van het Amerikaanse beveiligingsbedrijf Rapid7 onder 414 beveiligingsonderzoekers over de hele wereld (pdf).

Veruit de meeste hackers en onderzoekers die aan het onderzoek deelnamen (92%) rapporteren beveiligingslekken op verantwoorde wijze. 67 procent licht direct de leverancier in, terwijl 25 procent dit via een derde partij doet. De resterende 8 procent maakt kwetsbaarheden meteen openbaar of maakt hier helemaal geen melding van. Het direct openbaar maken van een kwetsbaarheid wordt vooral gedaan door onderzoekers die gefrustreerd zijn over de communicatie met een leverancier.

De dreiging van juridische stappen is voor 60% van de onderzoekers reden om kwetsbaarheden mogelijk niet direct bij de leverancier te melden. Veel organisaties en bedrijven bieden hackers beloningen voor het rapporteren van beveiligingsproblemen. 85 procent van de ondervraagde onderzoekers en hackers verwacht echter helemaal geen financiële beloning voor hun werk. Wel verwacht 53% een bedankje voor de melding.

Volgens Rapid7 zijn de resultaten van het onderzoek positief, maar is er ook nog een lange weg te gaan. Communicatieproblemen en juridische dreigementen zijn voor veel onderzoekers nog steeds reden tot zorgen. Het beveiligingsbedrijf adviseert dan ook om juridische obstakels te verwijderen, bijvoorbeeld door wetswijzigingen of het opstellen van duidelijk beleid waarin onderzoekers worden gevrijwaard.