私は、脆弱性が発見された方法が合法であると仮定しています。理想的には、潜在的な問題を回避するために、銀行アプリ開発者の同意を得てセキュリティ調査も行う必要があります。

あなたが説明したシナリオで最初に行うべきことは、Androidバンキングアプリケーションの開発者に対する脆弱性を責任を持ち、個人的に開示することです。理想的には、開発チームは通知に感謝し、できるだけ早く脆弱性を修正します。脆弱性が修正されるとすぐに、調査結果を公開することを選択できます（しかし、そうしないことは、バグ賞金を受け取るための頻繁な要件です）。銀行アプリが関連付けられている組織が脆弱性を報告するためのルールを確立しているかどうかを確認してください。

残念ながら、一部の組織は、脆弱性を通知すると、セキュリティよりも自分のイメージを大切にし、敵意を持って対応します。彼らはまた、あなたのレポートに応答しないだけでなく、脆弱性を無解決のままにしておくことができます。そのような場合、それに関係なく調査結果を公開することを選択できますが、組織はあなたを訴えることを進めることができます。詳細は、あなたと組織の対象となる法律に依存しますが、軽薄な訴訟でさえあなたの財政に壊滅的である可能性があります。そのような場合、業界の規制当局や関係するデータ保護機関などの第三者を取得することをお勧めします。最終的には、この問題に関する専門的な知識を持っている弁護士に連絡するのが賢明でしょう。

訴えられないことだけに関心がある場合は、匿名で見つけた脆弱性を公開することもできます。ただし、これにより、銀行アプリのすべてのユーザーが攻撃の危険にさらされ、管轄区域に応じて違法である可能性があります。以前に銀行アプリの開発者に脆弱性について連絡した場合、匿名の出版物は、誰が脆弱性を公開したかに関してすぐに主要な容疑者になるため、選択肢ではないかもしれません。
I am assuming that the way that the way the vulnerability was discovered is legal; Ideally the security research should also be done with the consent of the banking app developers to avoid any potential problems.

The first thing that should be done in the scenario that you described is to responsibly and privately disclose the vulnerability to the developers of the Android banking application. Ideally the development team will thank you for the notification and then proceed to fix the vulnerability as soon as possible. As soon as the vulnerability has been fixed you may then choose to publish your findings (but not doing so is a frequent requirement for receiving a bug bounty). Make sure to check whether the organization that the banking app is associated with has established rules for reporting vulnerabilities.

Unfortunately some organizations will value their image more than their security and respond with hostility to you if you notify them of a vulnerability. They may also just not respond to your report and leave the vulnerability unfixed. In such cases you may choose to publish your findings regardless but the organization may then proceed to sue you; the details will depend on the laws to which you and the organization are subject to, but even a frivolous lawsuit may be devastating to your finances. In such cases you may want to get a third party such as an industry regulator or a data protection authority involved. Ultimately you would be wise to contact a lawyer that has specialized knowledge on this issue though.

If you are only concerned with not getting sued you may also choose to just publish the vulnerability that you found anonymously. However, this will put all of the users of the banking app at risk of an attack and may also be illegal depending on your jurisdiction. If you previously contacted the developers of the banking app about the vulnerability an anonymous publication may not be an option since you will immediately become the prime suspect regarding who published the vulnerability.