7月のマイクロソフト月例セキュリティ更新プログラム（Patch Tuesday）では、マイクロソフト製品群全体で過去最多となる570件の脆弱性が修正された。このうち、パッチ公開前に実際に攻撃者に悪用されていたのは2件にとどまる。脆弱性と、それを突く攻撃コードは別物だ。
だが、脅威アクター（攻撃者）に先を越される前に手を打たなければ、脆弱性はエクスプロイトへと姿を変える。いわゆるゼロデイ（修正パッチが提供される前に悪用される脆弱性）が実際の攻撃に出回る例がこれほど少ないのは、マイクロソフト報奨金プログラムに参加するセキュリティ研究者の働きがあってこそだ。
そしてこの1年、過去最多となる研究者たちが、過去最高となる総額2000万ドル（約31億6000万円）の報奨金を分け合った。64カ国から集まった562人の研究者が「協調的な脆弱性開示を通じて顧客を守る」ことに貢献したと、同社はMicrosoft Security Response Center（MSRC）の発表で明らかにしている。
グーグルの報奨金も26億円超、「バグハンティング」は犯罪ではない
私はこれまで何度も述べてきたが、ハッキングは犯罪ではない。かつて「エシカルハッキング（倫理的なハッキング）」と呼ばれ、現在では「バグハンティング」と呼ばれることが多い行為と、サイバー犯罪との違いは重要でありながら、あまりに誤解されている。
はっきりさせておきたい。私たちが日々使っているプラットフォームやアプリケーションの脆弱性を、公認の脆弱性開示プラットフォームを通じてバグハンターたちが明らかにしてくれなければ、私たちは今よりはるかに危うい場所に置かれることになる。Bugcrowd（バグクラウド）などが運営する商用プログラムに加え、大手テック企業の多くも独自の制度を設けている。たとえばグーグルの脆弱性報奨金プログラム（VRP）は2025年、1700万ドルの報奨金（約26億9000万円）を支払っており、マイクロソフトに迫る水準にある。
