マイクロソフトは月曜日、過去1年間にバグ報奨金プログラムを通じて2,000万ドル超を支払ったと発表しました。
2025年7月1日から2026年6月30日までの間に、同社は15のバグ報奨金プログラムを通じて64カ国の研究者から脆弱性報告を受け付けました。
マイクロソフトによると、対象となる報告は2,531件に上り、562人の研究者に総額2,000万ドル超が授与され、単発の支払額としては最大20万ドルに達したケースもあったということです。
[ 関連記事： AIはバグ報奨金業界を消滅させるのか？ ]
この総額には、Zero Day Questハッキングコンテストの参加者に贈られた230万ドルも含まれています。さらに、サードパーティ製・オープンソースコードを対象とする新たな取り組みなどを通じて80万ドルが支払われました。
マイクロソフトは明らかにしました。同社によると、年度後半には報告件数が大幅に増加したとのことで、その要因として「研究コミュニティによる積極的な参加に加え、セキュリティ研究を支援するAI活用の広がり」の両方を挙げています。
マイクロソフトが支払った金額は、2024年と2025年がそれぞれ約1,700万ドル、2020年から2023年までは毎年約1,300万ドルでした。
今回の数字はマイクロソフトのバグ報奨金プログラムがますます成功を収めていることを示していますが、脆弱性報告への同社の対応に不満を持つ研究者も存在します。
オンライン上でChaotic EclipseおよびNightmare Eclipseと名乗る研究者は、マイクロソフトにパッチを適用する機会を与えないまま、複数のゼロデイの詳細を公開しました。これらの脆弱性の一部は、実際に悪用される事態にまで至っています。
Chaotic Eclipseはマイクロソフトに対して強い不満を表明しており、同社が脆弱性報告を不適切に扱った、連絡を無視した、報奨金の支払いを保留した、研究者の報告用アカウントを削除した、さらには過去の合意に違反したと主張しています。
翻訳元: https://www.securityweek.com/microsoft-bug-bounty-program-20-million-paid-to-500-researchers/
