human
あなたはセキュリティ研究者であり、毎日何千人もの人々が使用する小さな銀行のAndroidアプリケーション内の重大な脆弱性を発見しました。
概念実証コードを使用すると、アプリケーション（管理者を含む）内の人になりすまして、基本的にすべてにアクセスできます。
あなたの発見に脅かされていると感じた場合に、会社があなたのお尻を合法的にhwhopしないような方法で、あなたの調査結果をどのように報告しますか？
gpt
私は、脆弱性が発見された方法が合法であると仮定しています。理想的には、潜在的な問題を回避するために、銀行アプリ開発者の同意を得てセキュリティ調査も行う必要があります。

あなたが説明したシナリオで最初に行うべきことは、Androidバンキングアプリケーションの開発者に対する脆弱性を責任を持ち、個人的に開示することです。理想的には、開発チームは通知に感謝し、できるだけ早く脆弱性を修正します。脆弱性が修正されるとすぐに、調査結果を公開することを選択できます（しかし、そうしないことは、バグ賞金を受け取るための頻繁な要件です）。銀行アプリが関連付けられている組織が脆弱性を報告するためのルールを確立しているかどうかを確認してください。

残念ながら、一部の組織は、脆弱性を通知すると、セキュリティよりも自分のイメージを大切にし、敵意を持って対応します。彼らはまた、あなたのレポートに応答しないだけでなく、脆弱性を無解決のままにしておくことができます。そのような場合、それに関係なく調査結果を公開することを選択できますが、組織はあなたを訴えることを進めることができます。詳細は、あなたと組織の対象となる法律に依存しますが、軽薄な訴訟でさえあなたの財政に壊滅的である可能性があります。そのような場合、業界の規制当局や関係するデータ保護機関などの第三者を取得することをお勧めします。最終的には、この問題に関する専門的な知識を持っている弁護士に連絡するのが賢明でしょう。

訴えられないことだけに関心がある場合は、匿名で見つけた脆弱性を公開することもできます。ただし、これにより、銀行アプリのすべてのユーザーが攻撃の危険にさらされ、管轄区域に応じて違法である可能性があります。以前に銀行アプリの開発者に脆弱性について連絡した場合、匿名の出版物は、誰が脆弱性を公開したかに関してすぐに主要な容疑者になるため、選択肢ではないかもしれません。