HackerOne、バグ報奨金プログラムへの報告提出前にID認証を義務化

HackerOneは、バグ報奨金プログラム(BBP)への報告を提出する前に、全てのハッカーが本人確認を完了することを義務付ける重要なポリシー変更を導入しました。

この更新は即時発効となり、プラットフォームの信頼性強化と、報奨金支払いに関する規制コンプライアンス要件への対応を目的としています。新ポリシーの下では、ハッカーは報奨金の支払いを受けられるようになる前に、本人確認を行う必要があります。

脆弱性開示プログラム(VDP)はこの変更の影響を受けず、これまで通りID認証を必要とせずに一般からの報告を受け付け続けます。これにより、金銭的な報酬を求めずに脆弱性を報告する研究者にとって、オープンなアクセスが維持されます。

ソフトウェア脆弱性データベース

HackerOne、ID認証を義務化

この認証プロセスは、サードパーティの本人確認ベンダーであるVeriffによって提供されています。HackerOneによると、審査には通常最大48時間かかるとのことですが、Veriffのセッション終了後、最終的な確認までに最大3営業日を要する場合があります。

ハッカーは自身のプロフィールページで「ID Verification」のヘッダーをクリックすることで認証を開始でき、その前にまずHackerOneの行動規範(Rules of Engagement)に署名する必要があります。

署名が完了すると、ユーザーはVeriffにリダイレクトされ、パスポート、運転免許証、在留許可証などの政府発行の身分証明書を提出します。場合によっては、ライブセルフィーの提出も求められます。このプロセス全体を通じて、いくつかの制限が適用されます。

申請者はVPN、トラフィック匿名化ツール、SDKエミュレーター、脱獄(ジェイルブレイク)されたデバイスを使用することができず、iOSユーザーはプライベートリレー機能の使用が禁止されています。

受け付けられるのは有効期限内の物理的な身分証明書のみで、デジタルコピーやコピー機で複写したものは却下されます。また、申請者は18歳以上である必要があります。

認証に成功した申請者は、プロフィールに緑色の認証バッジが付与されます。これは、追加の犯罪歴調査を伴うより厳格な「H1 Clear」バッジとは異なるものです。

ID認証は一度きりの手続きではありません。ハッカーは毎年更新する必要があり、HackerOneは認証自体または提出した身分証明書のいずれか早い方の有効期限が切れる1か月前に、再認証を促す通知を送ります。

この期間内に更新を行わなかった場合、ID認証済みの特典が即座に失われ、緑色のバッジが取り消されるとともに、認証を必要とするプログラムへのアクセス権も失われます。

H1 Clearプログラムに登録しているハッカーも同様に、更新への切迫感を抱えています。というのも、Clearステータスは最新のID認証を維持していることが条件となっているためです。HackerOneは、申請が却下される主な理由をいくつか挙げています。

これには、身分証明書の有効期限切れ、コピー機で複写された書類、読み取り不能な機械可読ゾーン(MRZ)、ぼやけていたり一部が欠けていたりするバーコードスキャン、セルフィー撮影時の頭部の位置の誤りなどが含まれます。

2回連続で認証に失敗した申請者は、新たな認証リンクを取得するためにHackerOneのサポートに直接連絡する必要があります。Veriffは機密保持の観点から、却下の理由や認証状況をユーザーに開示しないためです。

バグ報奨金エコシステムにとって、この変化は業界全体がアカウンタビリティと規制対応に向けて移行していることを示すものと言えます。特に、金銭的な報酬を扱うプラットフォームは、不正防止やKYC(本人確認)義務に関して、監視の目が強まっている状況です。

VDPの研究者は摩擦のないアクセスを維持できる一方で、今回の変更は実質的に二層構造のシステムを生み出すことになります。公益のためのオープンな開示と、金銭化された脆弱性研究のための身元確認済みアクセスという構図です。

HackerOneのBBPに積極的に参加しているセキュリティ研究者は、特にClearステータスを維持している場合、報奨金の受給資格に支障が出ないよう、速やかに認証を完了させることを優先すべきでしょう。

セキュリティ製品とサービス

アラート: 20以上の政府系サイトが企業や市民にマルウェアを配布していました。攻撃の詳細な調査内容を確認し、自組織の被害有無をチェックしてください。