脆弱性報奨金制度
1983年、リアルタイムオペレーティングシステムであるVersatile Real-Time Executive(英語版)向けの脆弱性報奨金制度が、システムを開発したハンターとレディによって開始された。この制度が初めて適用された事例として知られており、脆弱性の発見者には、見返りとして「バグ」の通称でも知られるフォルクスワーゲン・タイプ1(ビートル)が贈られた。
1995年、ネットスケープコミュニケーションズのテクニカルサポートエンジニアであるJarrett Ridlinghaferが、「バグバウンティ」(Bugs Bounty) という言葉を造った。ネットスケープは従業員に対し、自分自身を追い込み、仕事を成し遂げるために必要なことは何でも実行するよう奨励していた。Ridlinghaferは、ネットスケープには多くの製品愛好家や伝道者が存在することを認識しており、その一部はネットスケープのブラウザに熱狂的であると考えていた。
2013年8月、パレスチナの研究者Khalil Shreatehが、誰でも任意のFacebookアカウントに動画を投稿できる脆弱性を報告した。ShreatehとFacebook間の電子メールによると、ShreatehはFacebookの脆弱性報奨金制度「ホワイトハット」を利用して脆弱性を報告したが、「バグではない」と否定された。後にShreatehは、この脆弱性を悪用し、マーク・ザッカーバーグのFacebookプロフィール上にこれまでの経過についてを投稿したが、Shreatehのアカウントは一時的に無効化された。当該の脆弱性は修正されたものの、Shreatehの報告は制度の規定に違反しているとして、報奨金は支払われなかった。
脆弱性報奨金制度(ぜいじゃくせいほうしょうきんせいど、英: bug bounty program)は、製品やサービスを提供する企業が、その製品の脆弱性(特にエクスプロイトやセキュリティホールなど)に関する報告を外部の専門家や研究者から受け、その対価として報奨金を支払う制度。この制度を利用することで、開発者は一般のユーザーが気付く前にバグを発見し、対処できるため、広範囲に渡る可能性のあるインシデントを事前に防げる。MozillaやFacebook、Yahoo!、Google、マイクロソフト、日本ではサイボウズやピクシブ、LINEなど、多くのウェブサイトや組織、ソフトウェア開発者が導入している。バグバウンティプログラムやバグ報奨金プログラムとも呼ばれ、導入する組織によっては独自の制度名が付けられている場合もある。