Googleは、バグ報奨金プログラムの拡大を正式に発表しました。研究者は、ユーザーデータの不正利用を検出したり、1億回以上インストールされているAndroidアプリの脆弱性を特定したりすることで、報酬を得られるようになります。
データ保護のための開発者向け報奨金プログラム（DDPRP）
最初の目玉となるのはDDPRPプログラムです。情報セキュリティの専門家は、このプログラムを通じてユーザーデータの悪用事例を報告できます。こうした問題は、Google APIにアクセスできるサードパーティ製アプリ、Google Play ストアのAndroidアプリ、そしてChrome ウェブストアのアプリや拡張機能で発生する可能性があります。
「このプログラムの目的は、データの不正利用について、信頼性が高く曖昧さのない証拠を提供できるすべての人を後押しすることです」とGoogleは述べています。 「特にこのプログラムは、ユーザーデータが予期せぬ形で利用または販売されている事例や、ユーザーの同意なく不正に再利用されている事例を明らかにすることを目指しています。」
データの悪用事例を発見した情報セキュリティの専門家には、最大5万ドルの報酬が支払われます。
今回の措置は、Facebookの前例にならったものです。2018年4月、Cambridge Analyticaとユーザーデータの不正利用をめぐるスキャンダルを受けて、同ソーシャルネットワークはバグ報奨金プログラムを更新しました。これにより、サードパーティ製アプリでそのような不正利用を発見した人には、最大4万ドルの報奨金が支払われるようになりました。
今月初めにも、Facebookが別の不愉快な事件を受けて、このプログラムの対象をInstagramにも広げたことを思い出していただきたいと思います。2019年8月初頭、Instagramの広告パートナーであるHyp3rが、広告プロファイルを後に作成する目的でユーザーデータを収集した罪で有罪と認定されました。Hyp3rは、数百万件のユーザーストーリー、画像、位置情報データ、経歴、興味関心などを密かに収集・保存していました。その結果、Hyp3rはプラットフォームのルール違反によりFacebookからブロックされました。
大規模アプリを対象としたバグ報奨金
Googleのもう一つの注目すべき発表は、Google Playストアの大規模アプリで見つかったすべてのバグを対象とした報奨金プログラムです。 研究者は、インストール数が1億回を超えたすべてのアプリの脆弱性を探し、その問題をGoogleに報告できるようになります。 この場合、こうしたアプリの開発者は、個別に登録したり、その他の手続きを行ったりする必要はありません。
脆弱性の報告はHackerOne上のGoogle Play セキュリティ GPSRPを通じて受け付けられ、その後アプリ開発者に転送されます。開発者が特定されたバグを修正できなかった場合、GoogleはそのアプリをPlayストアから除外します。
興味深いことに、独自のバグ報奨金プログラムを持つFacebook、Microsoft、Twitterといった大手開発者も、GPSRPの対象から除外されていません。さらにGoogleは、研究者はGPSRPと、各企業が独自に運営するバグ報奨金プログラムの両方に同じバグを報告できると説明しており、それによって報酬を二重に得られるとしています。
一見すると、Googleがサードパーティ製アプリのバグの費用を自ら負担しているように見え、筋が通らないように思えるかもしれません。しかし同社によれば、これは実際には合理的で採算の取れる仕組みだということです。GPSRPは2017年に開始されたものの、あまり注目されていませんでした。長期間にわたり、Googleが研究者に支払った額はわずか26万5000ドルでした。それでもこのプログラムには、（Googleが手作業で選定した）人気アプリがすでに多数含まれていました。
Googleは、過去3年間に寄せられたすべての脆弱性報告が無駄ではなかったと説明しています。すべてのバグ報告は分類され、Google Playストアのアプリを自動的にスキャンして類似の問題を探すシステムに組み込まれました。バグが検出された場合、脆弱なアプリの開発者はGoogle Play Consoleを通じて警告を受け取り、問題を修正するか、アプリをディレクトリから削除されるかのいずれかの対応を取ることになります。このシステムはApp Security Improvement（ASI）と呼ばれ、同社によれば、これまでに30万人の開発者がGoogle Play上の100万本以上のアプリの修正を行うのに役立ってきたとのことです。
