グーグルの脆弱性報奨金プログラム、2021年の支払額は約10億円

　Googleは、同社の脆弱性報奨金プログラム「Vulnerability Reward Programs」（VRP）で2021年に870万ドル（約10億円）を報奨金として支払ったことを明らかにした。

提供：Google

　Vulnerability Rewards TeamのSarah Jacobus氏によると、このうち30万ドル（約3400万円）は、研究者が選んだ慈善団体に寄付された。

　「Android」の脆弱性発見に対する報奨金は前年比で2倍になり、さまざまな脆弱性を発見した研究者に300万ドル（約3億5000万円）近くが支払われた。Androidの脆弱性発見者に支払われた報奨金の最高額は過去最高の15万7000ドル（約1800万円）だった。

　またGoogleは、一部の有名なAndroidチップセットのメーカーと共同でGoogleが提供する招待制の脆弱性報奨プログラム「Android Chipset Security Reward Program」（ACSRP）を立ち上げている。

　このプログラムでは、220件を超えるセキュリティ報告に29万6000ドル（約3400万円）を支払った。「Pixel」デバイスで使用されているセキュリティチップ「Titan M」の脆弱性発見者には、150万ドル（1億8000万円）を支払うという。また、Androidの安全性を維持する取り組みを続けている上位の研究者として、Bugsmirror TeamのAman Pandey氏、Yu-Cheng Lin氏、報奨金額は15万7000ドル（1800万ドル）を獲得した、アカウントgzobqq@gmail.comの研究者らが挙げられている。

　「Chrome」に関しても新たな記録が生まれた。Chromeのセキュリティ脆弱性333件を発見した研究者115人にVRP報奨金総額330万ドル（3億8000万円）が支払われた。

　「330万ドルのうち、310万ドル（約3億6000万円）はChromeブラウザー、25万500ドル（約2900万円）は『Chrome OS』の脆弱性発見の報奨金だった。個別のセキュリティ脆弱性報告の報奨金最高額は、Chrome OSが4万5000ドル（約520万円）、Chromeブラウザーが2万7000ドル（約320万円）だった」（Jacobus氏）

　「これらの総額のうち、VRP研究者が『Chrome Fuzzing』プログラムに提供したファザーによって発見されたセキュリティの問題に5万8000ドル（約670万円）の報奨金が授与された。外部から提供されたファザーによる有効な報告には、それぞれ1000ドルのパッチボーナスが支払われた。1万6000ドルの報奨金を受け取ったファザー報告もあった」

　Jacobus氏は、Chromeの脆弱性発見に大きな貢献を果たしたとして、Rory McNamara氏、Leecraso氏、Brendon Tiszka氏の功績をたたえた。

　Google Playでは、セキュリティ研究者60人に報奨金55万ドルが支払われた。また、11月に「kCTF」クラスターの脆弱性を対象とした報奨金が拡大され、最大額が1万ドルから5万227ドルになった。

　Google Cloud Platformに関しては、2019年に「GCP VRP Prize」を開始している。2021年3月にこの賞の2020年版の優勝者が発表された。賞金は総額31万3337ドルだった。Ezequiel Pereira氏が最高額を受け取った。「Google Cloud Deployment Manager」に存在するRCEの発見に13万3337ドルが支払われた。

　Googleは2021年、研究者と連携し、数多くの脆弱性を発見、修正したとしている。また、Googleの製品やインターネットの安全性を維持するための一般研究者向け専用ポータル「bughunters.google.com」を立ち上げた。