GitHubのバグ発見報奨金、2020年の支払額は約5700万円 報告件数は過去最多

米GitHubの日本法人は、脆弱性やバグを報告したユーザーに謝礼を支払う「セキュリティバグ報奨金プログラム」の支払額が、2020年は約5700万円だったと発表した。

[荒岡瑛一郎，ITmedia]

　ソースコード共有ツール「GitHub」を運営する米GitHubの日本法人は7月15日、脆弱性やバグを報告したユーザーに謝礼を支払う「セキュリティバグ報奨金プログラム」について、2020年2月〜21年2月の支払額が約5700万円（52万4250ドル）だったと発表した。

　報告を受けた件数は過去最多の1066件。GitHubはこのうち、Webサイトの利用者が特定のURLにアクセスしたとき、別のURLに自動で誘導する仕組み「オープンリダイレクト」のバグなど、203件の報告者に報奨金を支払った。

セキュリティバグ報奨金プログラムのWebサイト

　セキュリティバグ報奨金プログラムは14年に開始。GitHubなど同社が指定するサービスの脆弱性やバグを報告したユーザーに対して報奨金を支払っている。金額は脆弱性の重大度で変動し、最も危険度の高い「Critical」だと約220万円以上、「High」は約100万〜220万円、「Medium」は約44万円〜100万円、「Low」は約7万円〜22万円。

　21年6月にはバグの報告などに対応する新しい社内チームを発足したといい、今後も報告を受け付けるサービスの拡充するとしている

「Critical」の報奨金（公式サイトより）