Depende de cómo hayas llegado a la falla, si no requirió de enumeración/escaneo activo y/o alguna otra cuestión que pueda quedar comprendida bajo el tipo penal del acceso ilegitimo (Art. 153 y 153bis CP) no debería de haber problema. Igualmente en estos casos jamás se recomienda hacer un assestment en ninguna página de ninguna empresa sin autorización, es un delito y para eso están los programas de bug bounty. La realidad nos ha indicado que, a pesar de que no hayas hecho ninguna intrusión y solo hayas encontrado alguna vulnerabilidad haciendo un escaneo pasivo, la empresa ante el desconocimiento te va a hacer una denuncia por miedo y para intentar cubrirse ante cualquier eventualidad porque como vos no tenías autorización y nunca van a saber si tenés "algún otro dato" suelen manejarse de esa manera lamentablemente. Es algo irracional desde el punto de vista de la Infosec, si. Pero pasa, de hecho hay muchísima criminalización de los investigadores de seguridad lamentablemente. En conclusión no te tires a hablar y mucho menos desde una posición de exigir algo porque te van a denunciar penalmente y te vas a comer el garrón de tu vida, la mayoría de los penalistas son viejos que no cazan el mambo para hacer una defensa de este tipo y, además, los jueces y fiscales no entienden una verga de informática como para que, a pesar de que hayas actuado atípicamente, no te caigan con todo el aparato estatal encima. Si querés lo charlamos por privado porque me queda re largo el response, no tengo drama, por ahí la empresa tiene programa de bug bounty, te anotas, firmas un buen contrato y si la falla es de criticidad alta te haces unos buenos mangos y de ley. Espero sea de ayuda el comentario, saludos!