Abogados especializados en temas de ciberseguridad?

Hola, busco perspectiva sobre una situación de divulgación responsable que se fue un poco más lejos de lo que quería.

Hace dos días entré a una página del gobierno y, revisándola, encontré vulnerabilidades críticas: código fuente expuesto públicamente, directory listing activo, patrones de SQL injection, API interna sin autenticación, entre otras. Reporté todo el mismo día de buena fe al CERT. al organismo directamente y a los desarrolladores del sistema. El CERT me respondió agradeciéndome y que lo iban a ver, basicamente. los otros dos no contestaron.

Al día siguiente, haciendo un exhaustivo análisis adicional, ejecuté una request POST que explotó una de las vulnerabilidades y obtuve credenciales en texto plano.. De todos los usuarios del sistema.. Después usé una de esas credenciales para hacer un único login para verificar el hallazgo. No accedí a datos de ciudadanos ni modifiqué nada. Vi como era visualmente la pagina y sali.. El problema es que lo hice sin ninguna protección de privacidad, así que quedé registrado en los logs del sistema.

El reporte inicial fue enviado antes de que esto ocurriera. No envié un segundo reporte porque me genera incertidumbre haberlo hecho desde mi IP real. Insisto en que la pagina tiene data sensible de ciudadanos y es ultra vulnerable a ser atacada por una infinidad de formas. la mayoria que denote a "simple vista" las adjunte en mi primer reporte. Por eso mismo trate de "ayudar" un toque mas pero se me fue la mano porque hice uso de una de las vulnerabilidades que no mencione en mi primer reporte y asi obtuve las credenciales, cosa que ya borre todo y no se lo mencione a nadie...

Estudio ciberseguridad orientada al lado ofensivo, aunque todavía no lo ejerzo profesionalmente. Mi intención fue siempre de buena fe.

Mis preguntas: Qué tan grave es esto desde el punto de vista legal y ético? Debería mandar un reporte complementario mencionando el login?

O simplemente no hago nada más y dejo el tema? Pense en directamente dejarlo aqui, sin enviar ningun otro reporte ni nada, simplemente dejarlo y no meterme en mas bardo del que ya siento que estoy. Ya que sobre todo lo estuve haciendo por simple amor al arte.. Nadie me contrato, nadie me paga, nadie me da reconocimiento, etc.
Algun consejo? Saludos!

Estoy en Argentina si eso es relevante legalmente. Saludos