I am assuming that the way that the way the vulnerability was discovered is legal; Ideally the security research should also be done with the consent of the banking app developers to avoid any potential problems.

The first thing that should be done in the scenario that you described is to responsibly and privately disclose the vulnerability to the developers of the Android banking application. Ideally the development team will thank you for the notification and then proceed to fix the vulnerability as soon as possible. As soon as the vulnerability has been fixed you may then choose to publish your findings (but not doing so is a frequent requirement for receiving a bug bounty). Make sure to check whether the organization that the banking app is associated with has established rules for reporting vulnerabilities.

Unfortunately some organizations will value their image more than their security and respond with hostility to you if you notify them of a vulnerability. They may also just not respond to your report and leave the vulnerability unfixed. In such cases you may choose to publish your findings regardless but the organization may then proceed to sue you; the details will depend on the laws to which you and the organization are subject to, but even a frivolous lawsuit may be devastating to your finances. In such cases you may want to get a third party such as an industry regulator or a data protection authority involved. Ultimately you would be wise to contact a lawyer that has specialized knowledge on this issue though.

If you are only concerned with not getting sued you may also choose to just publish the vulnerability that you found anonymously. However, this will put all of the users of the banking app at risk of an attack and may also be illegal depending on your jurisdiction. If you previously contacted the developers of the banking app about the vulnerability an anonymous publication may not be an option since you will immediately become the prime suspect regarding who published the vulnerability.
ฉันสมมติว่าวิธีการค้นพบช่องโหว่นั้นถูกกฎหมาย ตามหลักการแล้ว การวิจัยด้านความปลอดภัยควรทำโดยได้รับความยินยอมจากนักพัฒนาแอปธนาคาร เพื่อหลีกเลี่ยงปัญหาที่อาจเกิดขึ้น สิ่งแรกที่ควรทำในสถานการณ์ที่คุณอธิบายคือการเปิดเผยช่องโหว่อย่างมีความรับผิดชอบและเป็นส่วนตัวแก่นักพัฒนาแอปพลิเคชันธนาคาร Android ตามหลักการแล้ว ทีมพัฒนาจะขอบคุณสำหรับการแจ้งเตือน จากนั้นดำเนินการแก้ไขช่องโหว่โดยเร็วที่สุด ทันทีที่ช่องโหว่ได้รับการแก้ไขแล้ว คุณสามารถเลือกเผยแพร่สิ่งที่คุณค้นพบได้ (แต่การไม่ทำเช่นนั้นถือเป็นข้อกำหนดที่พบบ่อยในการได้รับรางวัลข้อบกพร่อง) ตรวจสอบให้แน่ใจว่าองค์กรที่เชื่อมโยงกับแอปธนาคารได้กำหนดกฎสำหรับการรายงานช่องโหว่หรือไม่ น่าเสียดายที่บางองค์กรจะให้ความสำคัญกับภาพลักษณ์ของตนมากกว่าความปลอดภัย และตอบโต้ด้วยความเป็นปรปักษ์ต่อคุณหากคุณแจ้งให้ทราบถึงช่องโหว่ พวกเขาอาจไม่ตอบสนองต่อรายงานของคุณและปล่อยให้ช่องโหว่ไม่ได้รับการแก้ไข ในกรณีเช่นนี้ คุณอาจเลือกที่จะเผยแพร่สิ่งที่คุณค้นพบโดยไม่คำนึงถึง แต่องค์กรอาจดำเนินการฟ้องร้องคุณต่อไป รายละเอียดจะขึ้นอยู่กับกฎหมายที่คุณและองค์กรต้องปฏิบัติตาม แต่แม้แต่คดีที่ไม่สำคัญก็อาจสร้างความเสียหายให้กับการเงินของคุณได้ ในกรณีเช่นนี้ คุณอาจต้องการให้บุคคลที่สาม เช่น หน่วยงานกำกับดูแลอุตสาหกรรมหรือหน่วยงานคุ้มครองข้อมูลเข้ามาเกี่ยวข้อง ท้ายที่สุด คุณควรติดต่อทนายความที่มีความรู้เฉพาะด้านเกี่ยวกับปัญหานี้ หากคุณกังวลเพียงแต่ว่าจะไม่ถูกฟ้องร้อง คุณสามารถเลือกเผยแพร่ช่องโหว่ที่คุณพบโดยไม่เปิดเผยตัวตนได้ อย่างไรก็ตาม การดำเนินการนี้จะทำให้ผู้ใช้แอปธนาคารทั้งหมดเสี่ยงต่อการถูกโจมตีและอาจผิดกฎหมาย ขึ้นอยู่กับเขตอำนาจศาลของคุณ หากคุณเคยติดต่อนักพัฒนาแอปธนาคารเกี่ยวกับช่องโหว่นี้มาก่อน การเผยแพร่โดยไม่เปิดเผยตัวตนอาจไม่ใช่ทางเลือก เนื่องจากคุณจะกลายเป็นผู้ต้องสงสัยสำคัญทันทีว่าใครเป็นผู้เผยแพร่ช่องโหว่ดังกล่าว
spam fails_task lang_mismatch pii not_appropriate hate_speech sexual_content quality toxicity humor helpfulness creativity violence