もう少し詳しく

「バグバウンティ」(Bug Bounty)とは、企業が自社のソフトウェアやサービスに存在する脆弱性ぜいじゃくせい(セキュリティ上の弱点)を発見した人に対して、報奨金を支払う制度のことです。「バウンティ」は英語で「報奨金」を意味し、社外の研究者や技術者が脆弱性を探し、企業に報告する仕組みとして広く採用されています。近年では、人間の研究者だけでなく、AIを使って自動的に脆弱性を探す取り組みも登場しています。

どこで使われるか

Google、Apple、Microsoftをはじめとする多くの大手IT企業が、独自のバグバウンティ制度を運営しています。発見された脆弱性の深刻度に応じて、数万円から数千万円規模の報奨金が支払われることもあります。企業は、脆弱性が悪用される前に発見・修正できるという利点があり、発見者にとっては金銭的な報酬に加えて、セキュリティ研究者としての実績にもつながります。

身近な例

スマートフォンやパソコンのOS(基本ソフト)のセキュリティ更新情報には、しばしば「〇〇氏の発見に感謝します」といった謝辞が記載されています。これは多くの場合、バグバウンティ制度を通じて外部の研究者や企業が発見・報告した脆弱性であることを示しています。

注意点

バグバウンティ制度は、あくまで企業が定めたルールに沿って脆弱性を報告した場合にのみ報奨金が支払われる仕組みです。企業に無断で脆弱性を公開したり、発見した脆弱性を悪用したりする行為は、制度の対象外であるだけでなく、法律に触れる可能性もあります。