Microsoft、オンラインサービスの脆弱性情報に賞金制度を導入

[鈴木聖子，ITmedia]

　米Microsoftは9月23日、同社のオンラインサービスの脆弱性を発見した研究者に賞金を支払う「Microsoft Online Services Bug Bounty」を開始したと発表した。

　まずOffice 365を対象として、同サービスの脆弱性を見つけてMicrosoftに報告した研究者に賞金を贈呈する。賞金は500ドルから。対象とするサービスは今後拡大していく方針。

　情報提供を求めるのはクロスサイトスクリプティング（XSS）やクロスサイトリクエストフォージェリ（CSRF）、サーバサイドのコード実行、権限昇格などの脆弱性。Microsoftが定めるガイドラインに従ってメールで情報を提供する必要がある。

　Microsoftは、脆弱性情報に対して賞金を支払う制度を2013年から導入した。現在もWindowsの保護機能を迂回する革新的な手口に対して最大10万ドルの賞金を支払う「Mitigation Bypass Bounty」などを実施している。