自社のWebサービスや社内システムのセキュリティ対策を見直すなかで、「バグバウンティ」という言葉を目にする機会が増えています。攻撃の手口が高度化し、年に1回の点検だけでは守りきれないという危機感から、外部の力を借りて継続的に弱点を見つける仕組みに関心が集まっているためです。
一方で、「脆弱性診断と何が違うのか」「報奨金はいくらかかるのか」「自社でも始められるのか」といった疑問が次々と浮かび、言葉は知っていても自社の選択肢として検討する手前で止まってしまいがちです。
本記事では、バグバウンティとは何かという定義から、脆弱性診断・ペネトレーションテストとの違い、報奨金や運営費用の目安、国内で使えるプラットフォーム、そして自社が始めるなら何から着手すべきかまでを整理します。セキュリティ対策の選択肢を比較・検討するための材料としてご活用ください。
目次
一括ダウンロードする
バグバウンティとは
バグバウンティとは、外部のホワイトハッカー（セキュリティ研究者）に自社システムの脆弱性を見つけて報告してもらい、見つかった脆弱性に応じて報奨金を支払う仕組みです。「Bug（バグ＝脆弱性）」と「Bounty（報奨金）」を組み合わせた言葉で、日本語では脆弱性報奨金制度とも呼ばれます。
バグバウンティ・プラットフォームを運営するHackerOneは、この仕組みを「外部の第三者に対して、企業のソフトウェアの脆弱性を見つけるインセンティブ（金銭的な報酬）を与えるもの」と説明しています。報告された脆弱性を企業が検証し、有効と認めたものに報奨金を支払うため、成果に応じて費用が決まる点が特徴です。
A bug bounty program incentivizes external third parties to find security vulnerabilities in a company’s software (…) the finders of the vulnerabilities are rewarded with monetary prizes.
VDP vs. BBP｜HackerOne Docs（https://docs.hackerone.com/en/articles/8368965-vdp-vs-bbp）
考え方自体は新しいものではなく、1995年にWebブラウザを開発していたNetscape社が脆弱性に報奨金を出したのが始まりとされます。その後2010年代に専門のプラットフォームが広がり、現在ではGoogleやMicrosoft、Appleといった大手から、国内企業まで採用が広がっています。
攻撃者も新しい手口を次々と生み出すなかで、開発した時点の一度の点検では追いつかず、公開後も継続して外部の目で弱点を探し続ける手段として、採用する企業が増えています。
バグバウンティと脆弱性診断・ペネトレーションテストの違い
バグバウンティを理解するうえで最初につまずきやすいのが、従来の脆弱性診断やペネトレーションテストとの違いです。いずれも「システムの弱点を見つける」点は共通しますが、誰が・どのように・どんな費用の払い方で見つけるかが異なります。まずは以下の表で全体像を押さえてください。
| 比較項目 | 主な目的 | 見つける人 | 費用の払い方 | 実施のタイミング | 向いている場面 |
|---|---|---|---|---|---|
| バグバウンティ | 公開中のシステムを継続的に外部の視点で検査し、弱点を洗い出す | 不特定多数の外部ホワイトハッカー | 報告された有効な脆弱性に応じた成果報酬（＋運用費用） | プログラム公開中は常時 | 公開後も変更が続くサービスを継続的に見張りたい |
| 脆弱性診断 | 決められた範囲の弱点を網羅的に点検する | 契約した診断ベンダーの技術者 | 診断対象の範囲に応じた固定料金 | スポット（年1回・リリース前など） | リリース前や定期点検で弱点を一通り確認したい |
| ペネトレーションテスト | 攻撃者の視点で侵入可否と影響範囲を検証する | 契約した専門のペネトレーションテスター | 攻撃シナリオ・工数に応じた固定料金 | スポット（目的に応じて随時） | 特定の重要システムが実際に突破されないかを試したい |
※上記は一般的な傾向の整理です。実際の進め方や費用は各サービス・各プログラムによって異なります。
脆弱性診断とペネトレーションテストは、契約したベンダーが決められた範囲を決められた時期に点検する「スポット型」です。これに対してバグバウンティは、不特定多数の外部ハッカーが公開中のシステムを継続的に探し、報告された脆弱性にだけ報奨金を払う「成果報酬・継続型」である点が大きく異なります。
どちらが優れているという関係ではなく、スポットの診断で基礎的な弱点を一通りつぶしたうえで、公開後の継続的な監視としてバグバウンティを重ねる、という併用が現実的です。
また、スポット型として挙げた脆弱性診断とペネトレーションテストの違い（目的・費用・選び方）は、以下の記事で詳しく整理しています。どちらを基礎固めに取り入れるべきか迷う場合の判断材料になります。
ペネトレーションテストと脆弱性診断の違いを比較｜目的・費用・選び方まで解説
セキュリティ診断の導入を検討し始めると、「ペネトレーションテスト」と「脆弱性診断」という似た言葉に出会い、どちらを頼めばよいのか迷う場面が少なくありません。名前は違っても目的が近そうに見えるため、社内や取引先に説明するときも整理に困りがちで…
バグバウンティの仕組み
ここからは、バグバウンティが実際にどのような流れで回るのかを、登場人物とともに見ていきます。大きく分けると、次の6つのステップで進みます。
- スコープと報奨金の設定（企業）：検査の対象範囲（スコープ）とルール、脆弱性の深刻度ごとの報奨金額を定めてプログラムを公開します。
- 調査（外部のホワイトハッカー）：登録したハッカーが、定められたルールの範囲内でシステムを調査します。
- 報告（外部のホワイトハッカー）：見つけた脆弱性を、再現手順とともに企業へ報告します。
- 検証・トリアージ（企業）：報告が本当に脆弱性か、深刻度はどの程度かを判定します。この検証作業はトリアージと呼ばれます。
- 修正（企業）：確認した脆弱性を修正します。
- 報奨金の支払い（企業）：有効と認めた報告に対し、定めた基準どおり報奨金を支払います。
また、バグバウンティとよく一緒に語られる仕組みに「VDP（脆弱性開示ポリシー）」があります。VDPは脆弱性を見つけた人からの報告をどう受け付けるかの窓口や方法を定めるもので、金銭的な報酬を前提としない点がバグバウンティ（報奨金で外部の探索を促す仕組み）との違いです。
バグバウンティと法律（不正アクセス禁止法・Safe Harbor）
外部のハッカーにシステムを調べてもらうと聞くと、「それは法律上問題ないのか」という不安を持つ方もいます。結論から言えば、バグバウンティは企業の許可のもとで行う正規の活動であり、無許可でのアクセスとは明確に区別されます。
日本では、他人の管理するコンピュータへ無許可でアクセスする行為は、不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）で禁じられています。同法は第3条で不正アクセス行為を禁止し、違反した場合の罰則を第11条で定めています。
（第三条）何人も、不正アクセス行為をしてはならない。
不正アクセス行為の禁止等に関する法律（平成十一年法律第百二十八号）｜e-Gov法令検索（https://laws.e-gov.go.jp/law/411AC0000000128）
（第十一条）第三条の規定に違反した者は、三年以下の拘禁刑又は百万円以下の罰金に処する。
バグバウンティが正規の活動として成り立つ根拠は、同法第2条第4項が「不正アクセス行為」の定義から、システムの管理者（＝企業）の承諾を得て行うものを除いている点にあります。企業がプログラムを公開し、スコープとルールを定めて参加者を募ること自体が、この「承諾」にあたります。逆に、企業の許可なく脆弱性を探す行為は第3条違反となり、罰則の対象になり得ます。
バグバウンティでハッカーが企業の定めたルールの範囲内で活動するのは、この線引きを守るためです。
海外のプラットフォームでは「Safe Harbor（セーフハーバー）」という考え方もよく使われます。これは、スコープ内で誠実に行われた調査について、企業が法的措置をとらないとプログラムの規約で約束する仕組みです。日本の法律に定められた制度ではありませんが、企業が与えた許可を規約として明文化し、誠実な調査者を保護する運用上の取り決めとして機能します。
報奨金と運営費用の目安
バグバウンティでかかる費用は、大きく「報奨金」と「運営にかかる費用」の2つに分かれます。報奨金は成果報酬で、報告された脆弱性の深刻度（Critical・High・Medium・Lowなど）が高いほど高額になります。深刻度の低い報告は数千円から数万円、重大な脆弱性は数十万円から数百万円に達することもあります。
金額はプログラムごとに企業が設定するため、「相場はいくら」と一律に決まっているわけではありません。
実際の金額感は、公開されている事例から読み取れます。LINE（当時のLINE Corporation）は2019年に公開したプログラムで、有効な脆弱性1件あたり500ドルから30,000ドルの報奨金を設定していました。暗号資産交換業のビットバンク株式会社は、2022年に公開したプログラムで報奨金の範囲を5,000円から5,000,000円としています。
深刻度に応じて、小さな報告から重大な報告まで幅広く設定されていることがわかります。ドル建ての金額は為替レートで円換算額が変わりますが、3万ドルは日本円でおよそ数百万円規模にあたり、深刻度が高い報告ほど高額になる傾向です。
出典・参考資料（2件）
- 出典：LINE Corporation launches public bug bounty program｜HackerOne（https://www.hackerone.com/node/511）
- 出典：bitbankがバグバウンティプログラムを公開｜ビットバンク株式会社（https://corporate.bitbank.cc/news/20221109_01）
もう一方の運営費用は、プラットフォームを利用する場合の利用料や、報告を検証するトリアージの工数、修正にかかる社内のリソースです。プラットフォームの利用料は公開されていないことが多く、利用形態に応じた見積りとなります。
一方で、後述するIssueHuntのように、初期費用や月額費用をかけず成果報酬だけで始められる形もあります。いずれにせよ、報奨金とは別に運営の体制づくりへ固定的なコストと人手がかかる点は、検討段階で見落とさないようにしたい部分です。
バグバウンティ導入のメリットと注意点
バグバウンティを自社の選択肢として検討するうえで、得られる効果と、事前に備えておくべき点を対で押さえておきます。
導入のメリット
最大のメリットは、不特定多数の外部ハッカーという多様な視点を取り入れられることです。契約した特定のベンダーだけでは気づきにくい弱点も、さまざまな技術者が異なるアプローチで探すことで発見されやすくなります。
また、スポットの診断では点検と点検の間に生まれる空白期間を、継続的な監視で埋められる点も見逃せません。報奨金が成果報酬であるため、脆弱性が見つからなければ報奨金の支払いは発生せず、成果に費用が連動する点も特徴です。外部に開かれたセキュリティへの取り組みとして、利用者からの信頼につながる側面もあります。
導入の注意点・リスク
一方で、報告された脆弱性を検証し、深刻度を判定するトリアージには一定の体制が必要です。報告の質はさまざまで、重複した報告や誤検知も含まれるため、それらをさばく社内のリソースを確保しないと運用が回りません。
報奨金が想定以上に膨らむ可能性にも備える必要があります。重大な脆弱性が多数見つかれば、その分だけ支払いは増えます。加えて、バグバウンティで検査されるのは企業が定めたスコープの範囲内に限られ、範囲外のシステムや、ビジネスロジックの深い部分までは対象にならないことがあります。重要なシステムでは、スポットの診断と組み合わせて守りの抜けを防ぐ考え方が有効です。
国内の導入事例と日本語で使えるプラットフォーム
バグバウンティは海外の大手企業だけのものではありません。国内でも、自社で公開する企業と、プラットフォームを通じて運用する企業の両方で広がっています。
国内企業の導入事例
前述のLINEは、プラットフォームを通じて公開プログラムを運用した代表的な事例です。暗号資産交換業のビットバンク株式会社も、国内の暗号資産交換業者として早くからプログラムを公開・運用してきました。
自社で直接運用する例としては、サイボウズ株式会社の「サイボウズ脆弱性報奨金制度」が知られています。クラウドサービスに存在する未知の脆弱性を早期に発見・改修することを目的とした制度で、脆弱性の種別に応じて報奨金を算定し、1件あたり最大200万円を支払うものでした。ただし2026年11月時点では、制度の見直しのため新規の報告受付を一時的に停止しています。
出典・参考資料（1件）
- 出典：サイボウズ脆弱性報奨金制度｜サイボウズ株式会社（https://www.cybozu.com/jp/productsecurity/bugbounty/）
プラットフォーム型・自社運用型・運用代行の違い
バグバウンティの進め方には、大きく3つの形があります。1つ目は、専門のプラットフォームに登録してハッカーの募集・報告の受付・報奨金の支払いを任せる「プラットフォーム型」です。2つ目は、サイボウズのように自社でプログラムを公開・運用する「自社運用型」で、プラットフォームの利用料はかからない一方、募集や検証の体制を自前で整える必要があります。
3つ目は、プラットフォームの利用に加え、報告の検証（トリアージ）や運用そのものを外部の専門事業者に委ねる「運用代行」です。社内に専任の体制を置きにくい企業では、この運用代行が現実的な選択肢になります。
日本語で使えるプラットフォーム・運用代行
代表的なプラットフォームの1つが、世界最大規模のハッカーコミュニティを持つと説明するHackerOneです。多くのグローバル企業が利用しています。もう1つの大手がBugcrowdで、審査を通過したハッカー群と、報告を検証・優先度付けするマネージドトリアージを組み合わせたクラウドソース型のサービスを提供しています。
いずれも公式サイトやドキュメントは英語が中心で、日本企業の窓口や運用代行は、国内のセキュリティ企業Priv Techとの提携を通じて提供されています。
日本語でそのまま使えるプラットフォームとしては、IssueHunt株式会社が運営するIssueHuntがあります。脆弱性診断・バグバウンティ・開発プロセスへのセキュリティ組み込み（DevSecOps）をワンストップで提供するとうたい、報奨金に応じた成果報酬型で、初期費用や月額費用をかけずに始められる形を案内しています。
日本語での運用に対応している点が、国内企業にとってはまず検討しやすい選択肢となります。
自社でバグバウンティを始めるなら
自社でバグバウンティを始める場合、最初の作業は、検査してもらう対象の範囲（スコープ）と、脆弱性の深刻度ごとの報奨金額を決めることです。これは仕組みの1つ目の工程にあたり、ここを曖昧にすると報告の判定や支払いで後々もめやすくなります。
いきなり誰でも参加できる公開プログラムにせず、招待した一部のハッカーだけが参加する非公開（プライベート）プログラムから小さく始め、運用に慣れてから公開範囲を広げる方法もあります。報告の検証や運用を自社で担うのが難しければ、プラットフォームや運用代行を利用する判断になります。
ただし、どの形で始めるにしても押さえておきたい順序があります。基礎的な弱点が多く残った状態で公開すると、報告が殺到して検証が追いつかず、報奨金も膨らみやすくなります。
そのため、まずは脆弱性診断で一通りの弱点を洗い出して修正し、基礎を固めたうえで、継続的な監視としてバグバウンティを重ねる進め方が無理がありません。自社の現状がまだ基礎固めの段階であれば、最初の一歩は脆弱性診断からが堅実です。
一括ダウンロードする
まず自社の弱点を洗い出す脆弱性診断という選択肢
ここからは、バグバウンティを始める前の基礎固めとして有効な、脆弱性診断サービスを紹介します。Webアプリケーションやソースコードの弱点を事前に洗い出すことで、公開後の継続的な監視につなげやすくなります。
| サービス名 | Aikido Security | Hi AUDIT | CoWorker 脆弱性診断 | GMO Flatt Security |
|---|---|---|---|---|
| 診断対象 | ソースコード・依存ライブラリ クラウド設定・Webアプリ | スマートコントラクト監査が主力 （Webアプリ・API等にも対応） | ソースコード・ Webアプリ・API | Webアプリ中心 （API・GraphQL・クラウド・LLM等） |
| 診断の進め方 | ツール型SaaS （自動スキャン） | 自動監査＋専門家の マニュアル監査 | AI自動解析＋ 専門家の最終確認 | セキュリティエンジニアと AI「Takumi」による診断 |
| 継続／スポット | 継続 （月額サブスク型） | 継続・スポット （月額診断＋個別監査） | 継続・スポット （定期診断にも対応） | スポット （都度の診断） |
| 料金の目安 | 月額5万円台〜 | 要問い合わせ （成果報酬型） | ソースコード診断 15万円〜 | 100万円〜（税別） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る | サービス詳細を見る |
※上記は2026年11月時点の各社公式情報にもとづく目安です。「要問い合わせ」は公式が料金を公開していないものです。診断対象・進め方・料金は変動するため、導入時に各社の最新情報をご確認ください。
ここで挙げた4サービスに限らず、脆弱性診断サービスを診断方法や費用相場から幅広く見比べたい方は、選び方まで整理した以下の記事もあわせてご覧ください。自社の基礎固めにどの診断が合うかを検討する材料になります。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
1. Aikido Security（株式会社AndGo）
Aikido Securityは、ソースコード・依存ライブラリ・クラウド設定・コンテナ・稼働中のWebアプリケーションを1つの管理画面で検査するクラウド型（SaaS）の脆弱性診断ツールです。製品はベルギーのAikido Security BVが開発し、日本では株式会社AndGoが窓口となって日本語での導入・運用を支援しています。
単機能のツールを個別に足していくとアラートが分散して対応が追いつかなくなりがちですが、本サービスは検査を一本化し、対応すべきアラートを絞り込める点が特徴です。修正案をプルリクエストとして自動で作成する機能やエディター拡張も備え、開発の初期からセキュリティを組み込む運用に向いています。料金は月額5万円台からのサブスクリプション型で、無料で試せるプランも用意されています。
内製でサービスを開発するSaaS・クラウド事業者やスタートアップに適しています。
開発の現場でセキュリティをどう回していくかは、AIの普及とともにさらに変わろうとしています。日本窓口を担う株式会社AndGoの原氏は、今後の検査のあり方を次のように見通しています。
AIコーディングが当たり前になるほど、「AIが書いたコードも含めて、日常的に検証できる仕組み」が重要になります。その文脈で、AIエージェントがハッカーをエミュレーションして侵入テストを行い、ログや証跡を残す“AIペンテスト”の方向性も出てきています。これが進むと、コストや時間の都合で「リリース前に1回」が限界だった侵入テストを、ビルドパイプラインに組み込み、毎日回す世界が見えてきます。
2. Hi AUDIT（株式会社TECHFUND）
株式会社TECHFUNDが展開するHi AUDITは、スマートコントラクトのセキュリティ監査を主力としつつ、Webアプリケーション・API・ネットワークなどの脆弱性診断やペネトレーションテストにも対応するセキュリティ監査サービスです。自動監査と専門家によるマニュアル監査を組み合わせて提供します。
料金は、脆弱性が見つかった場合にのみ深刻度・件数に応じて課金する成果報酬型を採用しています。バグバウンティ・プラットフォームのHackenProofとも提携しています。監査だけでなくバグバウンティを含む開発プロセス全体をカバーする体制を志向している点は、継続的なセキュリティ対策を見据える企業の参考になります。Web3・暗号資産領域のサービスを開発・運用する企業に適しています。
3. CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker株式会社の脆弱性診断サービスは、自社開発のAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせたサービスです。ソースコード・Webアプリケーション・APIを対象に、静的診断・動的診断・ペネトレーションテストまでをメニューとして用意しています。
AIによる自動解析で診断の時間を短縮し、ハルシネーションが起きた可能性のある箇所は明示したうえで人が承認する流れを取ります。料金はソースコード診断が15万円から、Webアプリケーション・APIを対象とする動的診断が30万円から、Webペネトレーションテストが60万円からと案内されています。年に1回だった点検を四半期ごと・月ごとに回すような、継続的な診断を低コストで実現したい企業に向いています。
年に1回の点検では追いつかないという前提は、診断を提供する側も強く意識しています。CoWorker株式会社の一ノ瀬氏は、攻撃する側の変化について次のように語っています。
一方で、攻撃者側もAIを活用するようになり、新しく、しかもスピード感の早い攻撃が増えてきています。これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
4. GMO Flatt Security 脆弱性診断（GMO Flatt Security株式会社）
GMO Flatt Security株式会社の脆弱性診断は、自社に所属するセキュリティエンジニアがWebアプリケーションを網羅的に診断するサービスです。API、SPA、GraphQL、クラウド、LLM・生成AIなど、個別のメニューがそろっています。
標準の診断にソースコード診断（部分的なホワイトボックス診断）が追加料金なしで付く点が特徴で、OWASPで扱われる典型的な脆弱性に加え、アプリケーション固有のビジネスロジックの弱点まで診断対象に含めています。料金は脆弱性診断が100万円から（税別）、最短7営業日で報告書を納品し、見積りは無料です。
経済産業省の情報セキュリティサービス基準に適合しており、設計やソースコードまで踏み込んだ診断を求める企業に適しています。
まとめ
バグバウンティは、外部のホワイトハッカーに脆弱性を見つけて報告してもらい、成果に応じて報奨金を払う仕組みです。契約したベンダーがスポットで点検する脆弱性診断・ペネトレーションテストとは異なり、公開中のシステムを継続的に外部の目で見張れる点が強みです。報奨金は深刻度に応じた成果報酬で、運営にはトリアージの体制づくりという固定的なコストもかかります。
自社で始めるなら、まず脆弱性診断で基礎的な弱点を洗い出して修正し、そのうえで継続的な監視としてバグバウンティを重ねる進め方が堅実です。自社の現状に合うのは診断なのかバグバウンティなのかを見極める第一歩として、脆弱性診断サービスの資料を取り寄せて比較するところから始めてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. バグバウンティとは何ですか？
A. バグバウンティとは、外部のホワイトハッカーに自社システムの脆弱性を見つけて報告してもらい、見つかった脆弱性に応じて報奨金を支払う仕組みです。「Bug（バグ＝脆弱性）」と「Bounty（報奨金）」を組み合わせた言葉で、日本語では脆弱性報奨金制度とも呼ばれます。報告された脆弱性を企業が検証し、有効と認めたものに報奨金を払うため、成果に応じて費用が決まる点が特徴です。
Q. バグバウンティと脆弱性診断は何が違いますか？
A. バグバウンティと脆弱性診断の違いは、誰が・いつ・どんな費用の払い方で弱点を見つけるかにあります。脆弱性診断は契約した特定のベンダーが決められた範囲を決められた時期に点検する固定料金の「スポット型」であるのに対し、バグバウンティは不特定多数の外部ハッカーが公開中のシステムを継続的に探し、報告された有効な脆弱性にだけ報奨金を払う「成果報酬・継続型」です。
どちらが優れているという関係ではなく、診断で基礎的な弱点をつぶしたうえで、継続的な監視としてバグバウンティを重ねる併用が現実的です。
Q. バグバウンティの報奨金はいくらくらいですか？
A. バグバウンティの報奨金は成果報酬で、報告された脆弱性の深刻度が高いほど高額になり、金額はプログラムごとに企業が設定します。深刻度の低い報告は数千円から数万円、重大な脆弱性は数十万円から数百万円に達することもあります。
公開事例では、LINEが2019年のプログラムで1件あたり500ドルから30,000ドル、ビットバンク株式会社が2022年のプログラムで5,000円から5,000,000円と設定していました。報奨金とは別に、プラットフォーム利用料や報告を検証するトリアージの工数などの運営費用もかかる点は見落とさないようにしたい部分です。
Q. バグバウンティはどんな企業に向いていますか？
A. バグバウンティは、外部に公開しているWebサービスやAPIを継続的に運用し、公開後も変更が続く企業に向いています。特に「年1〜2回のスポット診断だけでは公開後の変更に追いつかず不安」「費用を抑えながら継続的に弱点を洗い出したい」という企業に適しています。
ただし、基礎的な弱点が多く残った状態で始めると報告が殺到して検証が追いつかず報奨金も膨らみやすいため、まず脆弱性診断で基礎を固めてからバグバウンティを重ねるのが無理のない進め方です。
Q. バグバウンティではスコープ外の脆弱性は見つけられないのですか？
A. バグバウンティで検査されるのは企業が定めたスコープ（検査対象範囲）の中に限られ、範囲外のシステムやビジネスロジックの深い部分は対象にならないことがあります。これは、ルールを定めて外部ハッカーの活動範囲を明示するという仕組み上の制約です。そのため重要なシステムでは、決められた範囲を網羅的に点検する脆弱性診断やペネトレーションテストと組み合わせて、守りの抜けを防ぐ考え方が有効です。
Q. 無許可で他社システムの脆弱性を探すのは違法ですか？
A. 企業の許可なく他人が管理するシステムへアクセスして脆弱性を探す行為は、不正アクセス禁止法に触れ、違法となり得ます。一方でバグバウンティは、企業がプログラムを公開してスコープとルールを定め参加者を募ること自体が同法上の「承諾」にあたるため、正規の活動として無許可のアクセスとは明確に区別されます。ハッカーが企業の定めたルールの範囲内で活動するのは、この線引きを守るためです。
出典・参考資料（1件）
- 出典：不正アクセス行為の禁止等に関する法律（平成十一年法律第百二十八号）｜e-Gov法令検索（https://laws.e-gov.go.jp/law/411AC0000000128）
脆弱性診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、Webアプリケーションやソースコードの弱点を洗い出す脆弱性診断サービスの最新資料を無料で一括請求できます。診断対象・進め方・料金の目安を見比べて、自社に合うサービスを検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
