Appleは、バグ報奨金プログラムの大幅な拡張と再設計を発表し、最高支払額の倍増、新たな研究カテゴリの追加、より透明性の高い報奨金構造の導入を行う。
2020年のプログラム開始以来、Appleは800人のセキュリティ研究者に3500万ドルを授与しており、提出された報告の一部に対して同社は50万ドルを支払っている。
最も高い報酬は、傭兵的なスパイウェア攻撃に似た、ゼロクリック（ユーザー操作なし）の遠隔侵害につながる脆弱性を報告した場合の200万ドルに倍増された。しかし、ボーナス制度を利用すれば、500万ドルという高額報酬も可能だ。
「さらに、ロックダウンモードのバイパスやベータ版ソフトウェアで発見された脆弱性に対して追加の報奨金を提供するボーナスシステムは、この報奨金の2倍以上となり、最大で500万ドルを超える報奨金が支払われる可能性があります」と、アップルは述べています。
新しいプログラムスキームの下で増加または導入されたその他の報酬は以下の通りです：
- ワンクリック（ユーザーインタラクション）リモート攻撃 – 100万ドル
- ワイヤレス近接攻撃 – 100万ドル
- iCloudへの広範な不正アクセス – 100万ドル
- 署名のない任意のコード実行につながるWebKitエクスプロイトチェーン – 100万ドル
- 物理的なアクセスを伴うロックされたデバイスへの攻撃 – 500,000ドル
- アプリのサンドボックスからの脱出 – 500,000 ドル
- ワンクリックによる WebKit サンドボックスのエスケープ – $300,000
- macOS Gatekeeperの完全なバイパス（ユーザー操作なし） – $100,000
- 影響は小さいが有効な報告に対する「奨励賞」1,000ドル
Appleは、ユーザーによる操作を伴わないGatekeeperの完全なバイパスや、iCloudへの広範な不正アクセスを実証する報告を受けたことはないとコメントしている。
さらにAppleは、「純粋にワイヤレスの近接性によって実行された、現実世界でのゼロクリック攻撃は観測されたことがない」と述べ、従来の25万ドルから100万ドルに増額された「ワイヤレス近接性」賞について言及している。
このカテゴリーはさらに拡大され、C1やC1Xモデム、N1ワイヤレスチップなど、アップル社が開発したチップも含まれるようになった。
2026年、アップルは傭兵のスパイウェアに狙われるリスクの高い市民団体のメンバーに、安全なiPhone 17デバイスを1000台配布する予定だ。
このデバイスは来年、アップルのセキュリティ研究用デバイス・プログラムにも採用される予定で、セキュリティ研究者は10月31日までに応募することができる。
テック大手は、研究者がセキュリティ上の問題を発見し報告するインセンティブが高まるため、賞金の増額がスパイウェア・ベンダーによる高度な攻撃チェーンの開発にさらなる影響を及ぼすと期待している。
高度なスパイウェア攻撃からユーザーを守るため、アップルはiOSにロックダウンモードや メモリ整合性強制などの高度な保護対策を実装した。
.ia_ad { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; padding: 0; overflow: hidden; }：0; overflow: hidden; } .ia_lef { flex: 1; max-width: 200px; height: auto; display: flex; align-items: stretch; } .ia_lef a { display: flex; width: 100%; height: 100%; } .ia_lef a img { width: 100%; height: 100%; object-fit: cover; border-radius: 8px 0 0 8px; margin: 0; display: block; } .ia_rig { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .ia_rig h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .ia_rig p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .ia_button { background-color：#border：1px solid #3b59aa; color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; cursor: pointer; padding：width: fit-content; } .ia_button a { text-decoration: none; color: inherit; display: block; } @media (max-width: 600px) { .ia_ad { flex-direction: column; align-items: center; } .ia_lef { max-width: 100%; } .ia_lef a img { border-radius: 8px 8px 0 0; } .ia_rig { padding：15px;
width: 100%;
}
.ia_button {
width: 100%;
margin: 0px auto;
}
}
今年のセキュリティ検証イベントPicus BASサミット
Breach and Attack Simulation Summitに参加して、セキュリティ検証の未来を体験してください。一流の専門家から話を聞き、AIを搭載したBASが侵害と攻撃のシミュレーションをどのように変革するかをご覧ください。
セキュリティ戦略の未来を形作るイベントをお見逃しなく。
Comments