Talkspace威胁要就错误报告起诉安全研究人员

 
一位安全研究人员说，在公司拒绝了他的发现并向研究人员发送了法律威胁之后，他被迫删除了一篇博客文章，描述了Talkspace网站上的一个明显错误，该错误使他可以免费订阅一年。
约翰·杰克逊(John Jackson)说，他能够注册到流行的治疗应用程序Talkspace，就好像他是一家健康保险计划涵盖Talkspace服务的公司之一的员工一样。其中一些注册链接可在Google搜索结果中找到，其中一些未在公司网站上发布。
但杰克逊表示，他几乎没有发现证据表明注册页面可以验证用户是否有资格获得为期一年的免费订阅。
杰克逊通过建立一个帐户来检验他的理论。他说，一个月后，该帐户仍然有效。
杰克逊的案件只是安全研究人员对其工作面临法律威胁的最新例证。几个月前，航空航天安全研究员克里斯·库贝克(Chris Kubecka)说，她在飞机上发现安全问题后受到波音的威胁。去年，还有两名安全研究人员也被起诉，理由是他们超过了在爱荷华州法院进行渗透测试的极限。此案后来被撤销。
Talkspace没有为安全研究人员提供提交错误的方法。在TechCrunch的帮助下，研究人员联系了Talkspace，以警告潜在的错误，担心恶意的黑客或用户可能会滥用该系统并要求免费治疗。但是该公司拒绝了这些要求，并告诉杰克逊，它“有多个内部流程可以防止滥用行为”，但未提供具体细节。
杰克逊(Jackson)在他的博客上发布了他的发现后数小时(TechCrunch看到了该消息)，Talkspace向杰克逊发出了停止和终止的信，指责该研究人员在他的博客文章中“通过散布真相”诽谤了Talkspace。
Talkspace总法律顾问约翰·赖利(John Reilly)签署并发送了一封信，他说：“在任何情况下，Talkspace都不会对向其提供的服务的企业合作伙伴或健康计划收取费用，”
这封信说：“这封信是正式停止和终止通知，并立即撤回这些声明，以澄清您的公然和破坏性的虚假陈述。” “不这样做将导致进一步的立即法律诉讼。”
达成协议后，Talkspace不会在记录中说出其反欺诈机制是什么，或者是否发现了多少欺诈性事件，只是说注册程序是“根据每个合作伙伴的个人目标共同设计的， ” Talkspace的首席技术官吉尔•马戈林(Gil Margolin)说。
我们已经发布了停止访问和停止访问的信。这封信没有提及杰克逊在其博客文章中提出的技术主张。
达成共识后，Talkspace发言人JoAnna Di Tullio将评论转给了赖利，赖利重复了他在信中的主张，称该公司“非常了解我们如何构建我们的雇主关系并确保获得我们服务的资格，”并将杰克逊的博客文章描述为“纯属诽谤”和“完全不真实”。
如今，许多公司通过提供错误报告程序来拥抱安全研究人员，该程序会奖励或支付研究人员发现安全漏洞和其他漏洞的费用，否则这些漏洞可能不会被恶意黑客报告和利用。
Dropbox，Mozilla和Tesla等其他公司则通过提供“安全港”条款而走得更远，他们承诺不会对善意的研究人员采取法律行动。