Is een pentest zonder contract strafbaar?
Juridische vraag: Ik vond in mijn vrije tijd een lek in de webshop van een bekende keten en heb het gemeld. Nu dreigen ze met aangifte. Hoe zit dat juridisch?
Computervredebreuk is in Nederland strafbaar zodra je binnendringt in een geautomatiseerd werk zonder dat je daartoe bevoegd bent. Dat de deur openstond, is geen verweer. Ook niet dat je goede bedoelingen had.
Tegelijk bestaat er een praktijk van responsible disclosure waarin het Openbaar Ministerie terughoudend is als je proportioneel te werk bent gegaan, niets hebt gekopieerd of gewijzigd, en direct hebt gemeld. Die terughoudendheid is beleid, geen recht: je kunt er niet op rekenen.
Het verschil zit vrijwel altijd in wat je precies deed nadat je het lek vond. Een enkele testrequest om te bevestigen dat de fout bestaat, wordt anders beoordeeld dan een dump van de klantentabel als 'bewijs'.
Mijn advies blijft ongewijzigd: melden bij de organisatie zelf, niets bewaren, niets publiceren voordat het opgelost is, en alles vastleggen wat je hebt gedaan. Dat laatste is niet alleen netjes, het is ook je beste verdediging.