バグバウンティとはどんな仕組みか｜報奨金制度と日本の届出制度

結論から書きます。バグバウンティとは、企業が自社の製品やサービスの欠陥を外部の人に探してもらい、見つけた人へ報奨金を払う仕組みのことです。欠陥を見つけて売る仕事ではなく、見つけて報告して直してもらう仕事です。ここを取り違えると、そもそも成立しません。

そして日本で始める場合、知っておくべき前提が2つあります。1つは、許可のない調査は法律で禁じられているということ。もう1つは、企業ごとの報奨金制度とは別に、国が運営している届出の制度があるということです。この2つを知らずに動くと、善意のつもりで違法な行為をしてしまいます。

この記事では、仕組みの全体像、報奨金がどう決まるか、日本の届出制度、法律の線引き、始めるために必要な知識と学ぶ順番、そして企業側が導入するときに決めることを順に整理します。

登場人物は3者、お金の流れは1方向

まず構図を押さえます。登場するのは3者です。

1者目が、製品やサービスを持っている企業です。自社の欠陥を早く知りたい立場で、報奨金を出す側になります。

2者目が、欠陥を探して報告する人です。研究者と呼ばれたり、ハンターと呼ばれたりします。

3者目が、両者を仲介するプラットフォームです。報告を受け付け、内容を整理し、重複を判定し、支払いを処理します。企業が自社で窓口を持つ場合は、この3者目がいない形になります。

お金は企業から報告者へ、1方向に流れます。報告者が企業に何かを支払うことはありません。もし「参加料」や「登録料」を求められたら、それは別の何かです。

そして、報奨金が出るのは報告が受け入れられた場合だけです。調査に費やした時間に対して払われるわけではありません。ここが通常の業務委託と決定的に違う点で、収入としての性質を考えるときの出発点になります。

日本には、報奨金とは別に国の届出制度がある

企業ごとの報奨金制度と並行して、日本には国が運営する届出の仕組みがあります。これを知らない人が多いので、先に説明します。

独立行政法人情報処理推進機構、略してIPAが受付の窓口になっていて、一般社団法人JPCERTコーディネーションセンターが製品開発者への連絡や公表の調整を担当します。制度の根拠は経済産業省の告示で、運用の指針として「情報セキュリティ早期警戒パートナーシップガイドライン」が定められています。

脆弱性関連情報の適切な流通および対策の促進を図り、インターネット利用者に対する被害を予防することを目的として、2004年7月8日から経済産業省の告示に基づき策定された情報セキュリティ早期警戒パートナーシップガイドラインに則り運用しています。 出典: ipa.go.jp

届出の対象は2種類に分かれています。1つが、OSやブラウザ、サーバー上のソフトウェア、ソフトウェアを組み込んだ機器などの欠陥です。もう1つが、主に日本国内からのアクセスが想定されているウェブサイトで動く固有のシステムの欠陥です。

ここで押さえておきたいのが、この制度には報奨金がないということです。目的は被害の予防であって、報告者への支払いではありません。IPA自身も、発見者に秘匿を強制すること、製品開発者に対策を強制すること、ウェブサイト運営者に修正を強制することは行っていないと明記しています。必ずしも期待する対応が取られる保証はない、とも書かれています。

つまり、報奨金を目的とするなら企業ごとの制度、社会的な被害を防ぐことを目的とするなら国の届出制度、という住み分けになります。そして、報奨金制度を持たない企業の製品で欠陥を見つけた場合、この国の制度が正規の届け先になります。

許可のない調査は、それ自体が違法になる

ここが最も大事な部分です。

不正アクセス行為の禁止等に関する法律、いわゆる不正アクセス禁止法は、他人のIDやパスワードを使ったり、欠陥を突いたりして、本来は利用権限がないのに利用できる状態にする行為を禁じています。罰則もあります。

ただし、条文には例外が明記されています。総務省の解説ページに載っている条文を見ると、アクセスを管理している人がするもの、およびその管理者や利用権者の承諾を得てするものは除く、と書かれています。

アクセス制御機能を有する特定電子計算機に電気通信回線を通じて当該アクセス制御機能に係る他人の識別符号を入力して当該特定電子計算機を作動させ、当該アクセス制御機能により制限されている特定利用をし得る状態にさせる行為（当該アクセス制御機能を付加したアクセス管理者がするもの及び当該アクセス管理者又は当該識別符号に係る利用権者の承諾を得てするものを除く。） 出典: soumu.go.jp

この「承諾を得てするものを除く」が、バグバウンティが成立する土台です。企業が公開している報奨金制度の規約は、この承諾を文書の形で与えるものだと理解できます。

だから、規約に書かれた範囲、いわゆるスコープの外を調べる行為は、承諾の外にあります。良かれと思って踏み込むと、報奨金が出ないどころではなく、法的な責任の問題になります。正直なところ、ここを軽く扱っている解説記事が多すぎます。始める前に、規約を最後まで読んでください。

報奨金はどう決まるのか

金額は、企業ごとにも報告ごとにも違います。決まり方の構造だけ整理します。

見られるのは4点です。1つ目が、その欠陥が悪用されたときの影響の大きさです。利用者の情報が全部見えてしまう種類か、特定の条件でだけ表示が崩れる種類かで、桁が変わります。

2つ目が、悪用のしやすさです。誰でも外部から再現できるのか、特殊な条件が揃ったときだけなのか。

3つ目が、影響を受ける範囲です。本番のサービス全体か、試験用の環境だけかで扱いが違います。

4つ目が、報告の質です。再現の手順が明確で、影響が説明できていて、証拠が揃っている報告は、判定が早く進みます。逆に、自動の検査ツールの出力をそのまま貼っただけの報告は、多くの場合その時点で却下されます。

深刻度の評価には、業界で共通に使われている指標が用いられることが一般的です。攻撃に必要な条件、必要な権限、利用者の操作が要るかどうか、そして情報の秘密性や完全性への影響といった項目を点数化する考え方です。企業が示す報奨金の表も、この深刻度の区分に沿って段階が作られていることが多くあります。

報告が無効になる典型的な形

報奨金が出ない報告には、いくつかの型があります。先に知っておくと、無駄な時間を使わずに済みます。

1つ目が、重複です。同じ欠陥を先に誰かが報告していた場合、原則として先に報告した人だけが対象になります。有名なサービスほど競争が激しく、この確率が上がります。

2つ目が、スコープ外です。規約で対象外と明記されている領域や、検査を禁じられている手法を使った報告は受け付けられません。

3つ目が、影響の説明がない報告です。「この設定が推奨されていない」という指摘だけでは、実害につながる説明が要ります。

4つ目が、すでに既知とされているものです。企業が把握していて、対応の方針が決まっている項目は対象外になります。

5つ目が、社会的に影響の大きい試験を無断で行った場合です。負荷をかける種類の検査は、ほぼすべての規約で禁止されています。サービスを止めてしまえば、それは報告ではなく攻撃です。

企業ごとの制度と、国の制度の違いを並べる

2つの制度は目的が違います。違いを表にしておきます。

見る点	企業ごとの報奨金制度	国の届出制度
目的	自社の欠陥を早く知る	社会全体の被害を予防する
報奨金	制度により支払われる	支払われない
受付先	企業またはプラットフォーム	IPA
調整役	企業自身	JPCERT/CC
対象	規約で示された範囲	ソフトウェア製品とウェブアプリケーション
公表	企業の判断	調整のうえ公表される場合がある
修正の強制	企業自身が判断	強制はしない

使い分けの目安は単純です。対象の企業が報奨金制度を公開していて、自分の見つけたものがその範囲に入るなら、そちらへ報告します。制度がない、あるいは範囲外だが社会的な影響が大きいと考えるなら、国の届出制度が受け皿になります。

どちらの場合も、報告する前に自分がやった調査が許可の範囲だったかを確認してください。順番は、許可の確認が先で、調査はその後です。

報告書に何を書くか

報告の質が報奨金を左右する、と書きました。書く項目は5つです。

1つ目が、概要です。何が起きるのかを2行で書きます。

2つ目が、再現の手順です。番号を振って、誰がやっても同じ結果になる形にします。使った環境も書きます。

3つ目が、影響です。この欠陥があると何ができてしまうのかを、具体的に書きます。ここが弱いと深刻度が低く判定されます。

4つ目が、証拠です。画面の記録や通信の記録を添えます。ただし、他人の実際の情報を取得して証拠にするのは行き過ぎです。自分で用意した試験用のアカウントで示すのが筋です。

5つ目が、対策の案です。必須ではありませんが、あると評価が上がります。

IPAの届出でも、様式と記入例と記入の手引きが公開されています。企業へ報告する場合も、この型を下敷きにすれば過不足のない報告になります。正確で再現可能な文書を書く力は、この仕事の中核です。文書の型そのものを体系的に押さえたいならビジネス文書検定が扱う範囲が近くなります。

始めるために必要な知識

どこから学ぶか、という質問への答えを整理します。必要なのは4つの層です。

1つ目が、ウェブの基礎です。ブラウザとサーバーの間で何がやり取りされているか、通信の形はどうなっているか。ここが分かっていないと、何を見ればよいかが分かりません。

2つ目が、認証とセッションの仕組みです。ログインした状態がどう維持されているか、権限がどう判定されているか。実際に見つかる欠陥の多くが、この領域に集まっています。

3つ目が、代表的な欠陥の型です。入力した値がそのまま画面に出てしまう型、データベースへの命令に混ざってしまう型、他人の権限で操作できてしまう型。型を知っていると、探す場所が絞れます。

4つ目が、ネットワークの基礎です。通信がどの層で何をしているかが分かると、原因の切り分けが速くなります。この層を体系的に学ぶならCCNA（シスコ技術者認定）が定番の入口です。

学ぶ順番は、この1から4です。いきなり道具の使い方から入ると、出力の意味が分からないまま報告して却下される、という形に陥ります。

学習の順番を、期間で区切って組む

学ぶ順番を、実際の予定に落とし込みます。仕事や学業と並行する前提で、無理のない区切りにしています。

期間	取り組むこと	到達点
1か月目	ブラウザとサーバーのやり取りを観察する	通信の中身を読める
2か月目	認証とセッションの仕組みを追う	ログイン状態の維持を説明できる
3か月目	代表的な欠陥の型を練習環境で再現する	型ごとの原因を言える
4か月目	小さなシステムを自分で作る	作る側の視点が入る
5か月目	作ったものを自分で壊してみる	どこに穴が空くか分かる
6か月目	競技形式の大会に出る、報告の型を練習する	外の基準で自分を測れる

半年で、許可された場に出ていける水準になります。ここを3か月で駆け抜けようとすると、たいてい2か月目で止まります。認証とセッションの理解は、飛ばすと後で必ず戻ってくる部分だからです。

そして、4か月目と5か月目を飛ばさないでください。作る経験がないまま探す側だけをやると、なぜその実装になっているのかが読めません。読めないと、影響の説明が書けません。影響が書けない報告は、深刻度が低く判定されます。遠回りに見えて、ここがいちばん効く投資です。

練習する場所を、正しく選ぶ

学んだことを試す場所は、必ず許可されている場所にしてください。選択肢は3つあります。

1つ目が、学習用に公開されている練習環境です。わざと欠陥を作ってある教材が公開されていて、自分の端末の中に立てて試せます。

2つ目が、競技形式の大会です。定められた課題を解く形で、参加者の行為が明確に許可されています。

3つ目が、自分で作ったシステムです。自分が管理しているものなら、何をしても自由です。作る側の視点が身につくので、実は近道になります。

逆に、絶対にやってはいけないのが、許可のない実在のサービスで試すことです。「軽く見ただけ」でも、条文の定義に当たれば違法です。善意かどうかは条文の要件に含まれていません。

自分でシステムを作りながら学ぶ道を選ぶなら、開発の仕事の流れを知っておくと学習の設計がしやすくなります。アプリケーション開発のお仕事は、要件を決める段階から運用までの工程ごとに、どういう関わり方があるかをまとめています。

報告してから支払われるまでに何が起きるか

流れを時間の順に並べると、待つ理由が分かります。

段階	何が起きるか	かかる時間の目安
受付	報告が形式の要件を満たすか確認される	数日
再現	担当者が手元で同じ状態を作れるか試す	数日から数週間
判定	深刻度と重複の有無が決まる	数日
修正	開発側が直し、試験して反映する	数週間から数か月
支払い	報奨金の手続きが進む	修正後または判定後
公表	謝辞や事例として公開される場合がある	修正後

再現の段階で止まる報告が、実はいちばん多くあります。手元で同じ状態を作れないと、判定に進めないからです。だから報告書の再現手順が、そのまま待ち時間の長さを決めます。環境、使ったブラウザ、順番、入力した値。ここを省かないでください。

もう1つ、修正の段階が長引くことがあります。根が深い欠陥ほど、直すと他の機能に影響が出るため、慎重に進められるからです。急かしても早くなりません。公表の時期についても、修正が終わるまでは待つのが原則です。ここを守らない報告者は、次から相手にされなくなります。

一次観察として、この分野の人の伸び方

この領域で伸びる人には、共通した進み方があります。

最初は、練習環境で型を1つずつ覚えます。次に、自分で小さなシステムを作って、自分で壊してみます。作る側を経験すると、どこに穴が空きやすいかが体で分かるようになります。そのうえで、許可された場に出ていきます。

逆に、伸びない進み方もはっきりしています。道具の使い方から入り、出力の意味を確かめないまま報告する形です。この道は、却下が続いて心が折れるところで止まります。

そして、長く続いている人ほど、書く力を鍛えています。見つける力と伝える力は別の能力で、後者が足りないと成果が形になりません。同じ欠陥を見つけても、伝え方で評価が変わる世界です。

もう1つ。この分野は独学が可能ですが、独学だけだと自分の水準が分からなくなります。競技形式の大会に出る、勉強会で発表する、公開されている報告を読む。外の基準に触れる機会を定期的に作っている人が、結果として速く伸びています。

収入として成り立つのか、正直なところ

ここはフェアに書きます。報奨金だけで生計を立てるのは、相当に難しいと考えたほうがよい領域です。

理由は3つあります。1つ目が、収入が安定しないことです。報告が受け入れられて初めて支払いが発生するので、時間と収入が対応しません。1か月調べて1件も通らないことがあります。

2つ目が、競争です。有名なサービスほど参加者が多く、見つけやすい欠陥は既に報告されています。残っているのは、深く読み込まないと見えないものです。

3つ目が、判定までの時間です。報告してから受理、修正、支払いまでに、数週間から数か月かかることがあります。

一方で、副次的な効果は大きいところにあります。実績が公開される制度では、それが技術力の証明になります。企業のセキュリティ関連の仕事を受けるときに、これほど分かりやすい材料は他にありません。

現実的な組み立て方は、本業や受託の仕事を持ちながら、学習と実績作りとして関わる形です。企業のセキュリティ関連の依頼がどういう形で外に出てくるかは、AI・マーケティング・セキュリティのお仕事が領域ごとに整理しています。

言葉の使い分けを、誤解のないように

この分野には、似た言葉がいくつもあります。混同されやすいので、整理しておきます。

報奨金制度は、範囲と条件を公開して、見つけた人に報奨金を払う仕組みです。誰でも参加できる形が基本で、成果に対して払われます。

脆弱性診断は、企業が専門の会社に依頼して、決められた期間に決められた範囲を調べてもらう仕事です。作業に対して費用が払われ、報告書が納品されます。成果の有無にかかわらず費用は発生します。

侵入試験は、実際の攻撃と同じ手順で、どこまで到達できるかを試す仕事です。範囲と手法が契約で細かく定められます。

この3つは、目的も契約の形も違います。仕事として受ける側から見ると、安定した収入になるのは2つ目と3つ目で、報奨金制度は実績を作る場と考えるのが実態に近い理解です。

そして、企業側から見ると、この3つは代わりになりません。診断で範囲を決めて調べ、報奨金制度で範囲の外から見てもらう。役割が違うので、両方やる意味があります。

企業が報奨金制度を始めるときに決めること

ここからは、導入する側の話です。決めることは5つあります。

1つ目が、範囲です。どのサービスのどの部分を対象にするか。最初から全部を対象にすると、対応しきれなくなります。

2つ目が、禁止する手法です。負荷をかける検査、他人の情報への接触、社員への働きかけ。これらは明確に禁じます。

3つ目が、報奨金の段階です。深刻度の区分ごとに幅を示しておくと、報告する側の期待と判定のずれが減ります。

4つ目が、対応にかける人の時間です。制度を作ることより、届いた報告をさばくほうが大変です。判定する人、修正する人、連絡する人を先に決めておかないと、報告が積み上がって止まります。

5つ目が、報告者への姿勢です。報告してくれた人を協力者として扱うか、侵入者として扱うか。ここで対応を誤ると、次から誰も報告してくれなくなり、欠陥は公開される形で知られることになります。

自社で窓口を持つのが難しい場合は、IPAの届出制度を通す道があります。IPAへ届け出る以外にも、社外からの連絡窓口を設けて発見者から直接受け取る形が可能で、調整が難航した場合にIPAへ連絡すれば間に入ってもらえる、という運用になっています。

欠陥とは何を指すのか、定義を押さえておく

言葉の定義を1つ確認しておきます。この分野で「脆弱性」と呼ばれるものが何を指すかです。

IPAの説明では、ソフトウェア製品やウェブアプリケーションにおけるセキュリティ上の問題箇所を指します。不正アクセスやウイルスなどによってその箇所が攻撃されると、本来の機能や性能を損なう原因になり得るもの、という説明です。

そして、もう1つ含まれる範囲があります。個人情報などが適切なアクセス制御の下に管理されていないなど、運営者の不適切な運用によってセキュリティが維持できなくなっている状態も含む、とされています。

ここが実務で効いてきます。つまり、プログラムの書き方の間違いだけが対象ではないということです。設定を誤っている、権限を広く与えすぎている、公開してはいけない場所を公開している。こうした運用の問題も、届出や報告の対象になります。

実際に見つかるものの多くは、高度な技術を要するものではなく、この種の設定の誤りです。難しい手法を覚える前に、公開されている画面を丁寧に見る。この基本のほうが、結果として成果につながります。

向いている人と、向いていない人

適性の話をします。判断の材料になる特徴が、それぞれ3つあります。

向いているのは、まず細部を確かめずにいられない人です。少しの違和感を放置できない性質が、そのまま強みになります。

次に、断られても続けられる人です。報告の大半は通りません。通らないことを前提に、次を試せるかどうかで差がつきます。

3つ目が、書くことが苦にならない人です。見つけたあとに待っているのは文書の仕事です。

一方、向いていないのは、短期で収入を作りたい人です。時間と収入が対応しない仕組みなので、生活の計算が立ちません。

次に、ルールの線を軽く見る人です。この分野では、線を越えた時点で技術力の話ではなくなります。

3つ目が、1人で完結させたい人です。報告は相手のある仕事で、やり取りが必ず発生します。質問に答え、追加の情報を出し、修正を待つ。この往復を面倒に感じるなら、別の形で技術を使うほうが向いています。

中小企業にとっての現実的な順番

報奨金制度は、欠陥を探す仕組みとしては強力ですが、土台がない状態で導入しても効果が出ません。順番があります。

先にやることは3つです。1つ目が、自社が何を持っているかの把握です。使っているソフトウェアと、公開しているサービスの一覧が作られていない会社は珍しくありません。

2つ目が、更新の運用です。公開されている欠陥が直っていない状態を放置していると、報奨金を払って探してもらう前に、既知の穴から入られます。

3つ目が、人の教育です。技術的な欠陥より、人を騙して入る手口のほうが件数は多くあります。訓練の組み立て方は社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドが具体的に整理しています。

この3つが回り始めてから、外部に探してもらう段階へ進むのが順当です。費用の面では、中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法が、使える制度と申請の流れをまとめています。

この分野に関わる人へ、市場の側から見た話

運営者として在宅の仕事の市場を20年見てきた立場から言うと、セキュリティに関わる仕事は、他の分野と仕事の取り方が違います。実績の公開が難しいからです。守秘の対象になる案件が多く、何をやったかを外に書けません。

だから、書ける実績の価値が相対的に高くなります。報奨金制度で受理された報告や、公開されている謝辞の一覧に名前が載ることは、その数少ない書ける材料の1つです。金額よりも、この点のほうが長期的には効きます。

もう1つ。中間に人が入らない直接の取引では、依頼する側は同じ予算でより多くを頼め、受ける側は手取りが厚くなります。手数料0%という仕組みが効いてくるのは、専門性が高く単価の大きい仕事ほど顕著です。差し引かれる割合が同じでも、元の額が大きければ残る額の差は広がります。

企業側の需要は、守りだけでなく作る側にも広がっています。AIコンサル・業務活用支援のお仕事は、業務の中にAIをどう組み込むかを支援する仕事の流れをまとめたページで、扱う情報の安全性が必ず論点になる分野です。セキュリティの知識を持っている人が入ると、話が早く進みます。

単価の水準は、感覚ではなく統計で確かめてください。ソフトウェア作成者の年収・単価相場は職種ごとの年収と単価を公的な統計から整理したページで、技術寄りの仕事を受けるときの基準になります。報告書や解説を書く比重が高い働き方なら著述家，記者，編集者の年収・単価相場のほうが近い数字が並びます。

最後に、これから始める人が今日やることを1つだけ選ぶなら、興味のある企業の報奨金制度の規約を1つ、最後まで読むことです。所要はおよそ30分です。何が許可され、何が禁じられているかを自分の目で見ることが、この分野の第一歩になります。

よくある質問

Q. バグバウンティは無許可で始めてもよいのですか？

いけません。不正アクセス禁止法は、権限がないのに利用できる状態にする行為を禁じていて、条文の例外は管理者や利用権者の承諾を得た場合です。企業が公開する報奨金制度の規約が、その承諾にあたります。規約に書かれた範囲の外を調べると、報奨金が出ないだけでなく法的な責任の問題になります。

Q. 報奨金のない日本の届出制度は何のためにありますか？

被害の予防のためです。IPAが受付、JPCERT/CCが調整を担当し、経済産業省の告示に基づくガイドラインに沿って運用されています。報奨金は出ませんし、IPAは製品開発者への対策の強制も行っていません。報奨金制度を持たない企業の製品で欠陥を見つけたときの、正規の届け先になります。

Q. 報奨金だけで生活できますか？

難しいと考えてください。報告が受け入れられて初めて支払いが発生するため時間と収入が対応せず、有名なサービスほど競争が激しく、判定と支払いに数週間から数か月かかることもあります。本業や受託の仕事を持ちながら、学習と公開できる実績作りとして関わる形が現実的です。

Q. 何から勉強すればよいですか？

ウェブの通信の基礎、認証とセッションの仕組み、代表的な欠陥の型、ネットワークの基礎の順です。道具の使い方から入ると出力の意味が分からないまま報告して却下されます。練習は学習用の環境、競技形式の大会、自分で作ったシステムのいずれかで行い、実在のサービスを無断で試すことは絶対に避けてください。