Question 1

¿Qué es una vulnerabilidad de seguridad?

Accepted Answer

Una vulnerabilidad de seguridad ES cualquier debilidad en nuestras aplicaciones, dispositivos, API o infraestructura que pueda afectar la privacidad, la seguridad o el correcto funcionamiento de nuestros productos. Una vulnerabilidad de seguridad NO es una solicitud para eliminar información, cancelar servicios ni solicitar asistencia en un asunto personal, etc. Para tratar problemas que no tengan que ver con vulnerabilidad de seguridad, visite nuestro Centro de ayuda en support.life360.com.Consulte la pregunta frecuente n.° 2: ¿A qué se aplica esto? para obtener más detalles sobre lo que abarca y lo que no.Life360 agradece el apoyo de la comunidad de investigación en seguridad y de investigadores independientes para identificar y reportar vulnerabilidades de seguridad de manera responsable. Nuestra misión es reducir el riesgo empresarial y mejorar la seguridad de las personas que confían en nuestros productos digitales y físicos.

Question 2

¿A qué se aplican las preguntas frecuentes sobre informes de divulgación de vulnerabilidades de seguridad?

Accepted Answer

Puedes reportar problemas de seguridad relacionados con todos los productos de la marca Life360 y sus filiales, incluyendo:Aplicaciones móviles y web de Life360Hardware de Life360, así como nuestros:Rastreadores Bluetooth TileDispositivos de localización inteligente JiobitAplicaciones web de Life360 NativoSDKs públicos de Life360 NativosLos siguientes sistemas y activos están dentro del alcance para la investigación y divulgación de vulnerabilidades (lista no exhaustiva):Sitios webhttps://www.life360.comhttps://www.jiobit.comhttps://www.nativo.comAPIsapi.life360.comproduction.tile-api.combackend.jiobit.comapi.nativo.comAndroidcom.life360.android.safetymapdcom.thetileapp.tilecom.jiobit.appiOSLife360-find-family-friendstile-find-lost-keys-phonejiobit-for-familiesTodo el firmware, aplicaciones, APIs y servicios en la nube asociados con los dispositivos de Life360, Jiobit y TileCategorías de vulnerabilidades dentro del scope:Problemas de autenticación o autorizaciónAcceso no autorizado a datos o ubicación de usuariosVulnerabilidades del lado del servidor (ej. RCE, SQLi, SSRF)Filtración de PII (Información de Identificación Personal) en clientes móvilesSalto de directorio (Directory traversal), XSS y CSRF en funciones sensiblesReferencias directas a objetos inseguros (IDOR)Fallos en la lógica de la APIExposición de credenciales o tokens sensibles con impacto demostradoErrores de configuración con implicaciones de seguridad demostrablesFallos en membresías y pagos (ej. obtener beneficios Platinum sin pagar)Categorías fuera del scope:Ciertas vulnerabilidades no se consideran para el Programa de Bug Bounty. Estas incluyen, pero no se limitan a:https://docs.hackerone.com/en/articles/8494488-core-ineligible-findingsExclusiones de alcance listadas en HackerOneSistemas de fusiones y adquisiciones recientes (dentro de los 60 días posteriores a la operación)Problemas conocidos (Lista no exhaustiva)Verificación de registro por teléfono/correo (no utilizamos 2FA tradicional)Vulnerabilidades conocidas (CVEs) sin un exploit comprobado en nuestro entornoOtrosAtaques físicos contra propiedades o centros de datos de Life360Ingeniería social a empleados, contratistas o proveedoresInyección (HTML, CSV) sin demostrar vulnerabilidad y PoCAtaques de inyección de CSS (A menos que permitan la lectura de tokens anti-CSRF u otra información sensible).Reportes de escaneos automatizados sin un impacto reproducible validadoIncluyendo reportes de herramientas de escaneo con IA sin validación de explotabilidad e impactoLibrerías o marcos de trabajo con vulnerabilidades ya conocidas que no incluyan una prueba de concepto y un exploit funcionalVulnerabilidades conocidas con parches de seguridad de menos de 30 días de antigüedadVulnerabilidades que afecten únicamente a usuarios de aplicaciones móviles desactualizadas[con menos de 2 versiones estables de diferencia respecto a la última versión estable lanzada]Vulnerabilidades que afecten únicamente a usuarios de navegadores desactualizados o sin parches de seguridad[con menos de 2 versiones estables de diferencia respecto a la última versión estable lanzada]Exposición de llaves o credenciales de API sin un riesgo de negocio comprobado. No utilice una llave de API para inflar la facturación. Este tipo de problemas no son elegibles para recompensas.Presencia o falta del atributo autocomplete en formularios web o gestores de contraseñasProblemas de limitación de tasa (rate limiting) o de fuerza brutaUso de métodos HTTP no utilizados o de códigos de respuesta específicosDivulgación de direcciones IP privadas o nombres de host, o exposición de la IP real en servicios que utilizan CDNLos problemas relacionados con aplicaciones móviles, incluyendo secretos encontrados dentro de la aplicación, deben tener un riesgo de negocio asociado derivado del abuso de dichos secretosVulnerabilidades que involucren el uso de credenciales robadasDivulgación de la ruta completa (Full Path Disclosure)Requisitos de complejidad de contraseñas, enumeración de cuentas o correos electrónicos, o cualquier reporte sobre cómo determinar si un nombre de usuario o dirección de correo es fácil de adivinarEndpoints de administración de WordPress expuestos que no incluyan una prueba de concepto (PoC) de un exploit funcional

Question 3

¿Cómo puedo reportar una vulnerabilidad de seguridad?

Accepted Answer

Nos tomamos la seguridad muy en serio. Si crees haber descubierto una vulnerabilidad de seguridad en cualquiera de nuestros productos o servicios incluidos, infórmalo a través de los siguientes canales:nvía tu reporte mediante nuestro programa de HackerOne en https://hackerone.com/life360. Si necesitas una invitación, envía el reporte completo a responsibledisclosure@life360.com y te ayudaremos con el procesoComo alternativa, si no puedes usar HackerOne, puedes enviar tu reporte directamente a vulnerability-disclosure@life360.comPara problemas que no sean de seguridad, visita nuestro Centro de Ayuda en support.life360.com.Para ayudarnos a investigar de manera eficiente, incluye lo siguiente en tu reporte:Nombre del producto y versión (ej. app Life360, dispositivo Tile Mate)Una descripción clara de la vulnerabilidadPasos detallados para reproducir el problemaFecha del hallazgoTu información de contacto (opcional, pero recomendada para el seguimiento)Solo utilizaremos tu información para investigar y responder al problema reportado.

Question 4

¿Cuándo recibiré una respuesta tras enviar un informe de vulnerabilidad de seguridad? ¿Recibiré actualizaciones?

Accepted Answer

Nuestro objetivo es responder de manera oportuna y transparente.Esto es lo que puede esperar:Acusaremos recibo de todas las presentaciones dentro de un plazo de 10 días hábiles.Si se determina que una presentación constituye una vulnerabilidad de seguridad válida, le proporcionaremos actualizaciones adicionales y podremos solicitarle más información dentro de los siguientes 30 días.Se brindarán actualizaciones sobre el avance durante todo el ciclo de tratamiento del problema, hasta alcanzar una resolución, en caso de confirmarse que se trata de una vulnerabilidad de seguridad válida.Si, tras la revisión, determinamos que una presentación no cumple con nuestros criterios para considerarse una vulnerabilidad de seguridad válida, es posible que no haya seguimiento más allá del acuse de recibo inicial. Para problemas que no se relacionen con vulnerabilidades de seguridad, le recomendamos visitar nuestro Centro de Ayuda en support.life360.com.Life360 se reserva el derecho exclusivo de determinar la naturaleza, gravedad y plazo de resolución de cualquier vulnerabilidad reportada, así como de decidir si responderá o cómo lo hará. Nada en este documento de preguntas frecuentes obliga a Life360 a tomar medidas más allá de lo que exige la ley, ni crea derechos contractuales o legales para ninguna de las partes. Life360 puede actualizar o modificar este documento en cualquier momento y sin previo aviso. El hecho de participar en este programa no garantiza ningún tipo de respuesta, remediación ni reconocimiento, salvo que así lo exija la ley.

Question 5

¿Qué directrices debo seguir al preparar mi informe de vulnerabilidad de seguridad?

Accepted Answer

Antes de enviar tu reporte de vulnerabilidad, por favor toma en cuenta las siguientes pautas:Envía todos los reportes de forma privada a través de los mecanismos detallados en la sección ¿Cómo puedo reportar una vulnerabilidad de seguridad?Envía reportes claros y reproducibles; las entregas vagas o incompletas podrían ser rechazadasRealiza pruebas únicamente en los sistemas y activos incluidos explícitamente en el alcance; no intentes ampliar el acceso más allá del fallo verificadoNo ataques servicios de terceros y limita el uso de herramientas automáticas a 60 solicitudes por segundo. Detén cualquier actividad automatizada al primer indicio de caída o impacto negativo en el servicioReporta una sola vulnerabilidad por envío (a menos que se requiera el encadenamiento de fallos relacionados)Solo el primer reporte válido será elegible para reconocimiento; los duplicados o problemas derivados podrían agruparseDetén las pruebas de inmediato y reporta si encuentras Información de Identificación Personal (PII), propiedad intelectual protegida o si afectas servicios compartidosQuedan prohibidos los intentos de ingeniería social, phishing y acceso físicoUsa solo cuentas de prueba propias o autorizadas; nunca utilices datos de usuarios reales (incluso si son tuyos)Puedes usar membresías de prueba o de pago para acceder a funciones premium durante tus pruebas. Para apoyar tu investigación:Crea cuentas de prueba con credenciales válidas y un número telefónico legítimoPuedes utilizar periodos de prueba o suscripciones pagas para probar funciones premiumLife360 se reserva el derecho exclusivo de determinar la naturaleza, gravedad y el tiempo de resolución de cualquier vulnerabilidad reportada, así como la decisión de cómo responder. Nada en este documento obliga a Life360 a tomar medidas más allá de lo legalmente requerido, ni crea derechos contractuales o legales para terceros. Life360 puede actualizar estos términos en cualquier momento sin previo aviso. La participación en este programa no garantiza respuesta, solución o reconocimiento, a menos que la ley lo exija.

Question 6

Creo que mi informe de vulnerabilidad de seguridad no se está gestionando adecuadamente. ¿Qué hago?

Accepted Answer

Si no está satisfecho con el resultado o la gestión de su informe de vulnerabilidad, puede escalar el asunto respondiendo al correo electrónico original que recibió para reabrir el problema. Incluya un resumen claro de sus inquietudes para que podamos realizar una reevaluación exhaustiva. Nos comprometemos a garantizar que todos los informes se gestionen de manera justa, transparente y de acuerdo con nuestra política de divulgación.

Question 7

¿Cómo se maneja mi información incluida en mi informe de vulnerabilidad de seguridad?

Accepted Answer

Cualquier dato personal recopilado (por ejemplo, nombre y dirección de correo electrónico) solo se utilizará para procesar su informe de seguridad y comunicarnos con usted al respecto.

Informes de divulgación de vulnerabilidades de seguridad: preguntas frecuentes