13:26サイボウズが自社製品のバグに懸賞金を出す理由って?──バグハンター合宿に密着取材してきた1/2Tweet「100万円のバグを見つけました!」サイボウズが主催する「バグハンター合宿」なるイベントに参加して、1時間足らずの出来事だった。あまりに簡単に100万円という金額が飛び出たので、人生ゲームの紙幣くらい軽く感じてしまった。それと同時にバグハンターたちの技術力の高さと脅威の両方を知ることになった......。文:megaya上の青枠の文章だけは別人が書いています。バグハンターとは、ものすごく簡単に説明すると「Webサイトやスマホアプリのバグを見つける人」のことだ。バグ探しを趣味にする人もいるが、バグハンターを職業としている人も数多くいる。見つけたバグを企業に報告することで報酬をもらうのだ。なかには「バグ1件で200万円」なんて高額な報酬もあるそう。夢がある実例をひとつ紹介したい。2018年5月頃から活動している若手バグハンターのno1zy(ノイジー)さんの話だ。バグハンターのno1zy(ノイジー)さん当時は学生だったにもかかわらず、活動し始めてからわずか6か月で、500万円もの報酬を得たという。サイボウズからの報奨金が今年入金されたため、来年の税金がエグそうだとのこと......。(お金の話ばかりで節操なくて申し訳ないが、わかりやすい指標として紹介させてほしい)バグハンターの報酬が高いのには理由がある。場合によっては、バグが個人情報流出を引き起こす可能性があるからだ。そんなバグを悪用されてしまったら、会社の存続にもかかわるかもしれない。数百万円で会社を守れると考えれば安いものなのだろう。バグ報告に対して報奨金を出す日本企業は少ない。バグハンターの重要性がまだまだ浸透していないのかもしれない。バグハンターはハッキングに近い形でバグを探していくので、危険視されることもあり、企業からは敬遠されることもあるのだ。サイボウズはいち早くバグハンターに報奨金を出す取り組みをしている。それだけでなく、社外から参加者(バグハンター)を募り、2日間で集中的にサイボウズ製品の脆弱性を発見してもらうイベント「バグハンター合宿」を2014年から開催しているという。今回はその合宿に取材をしにいくことに。一体、どんな合宿になるのだろうか......。想像がつかないまま、会場に足を運んだ。※この記事にはオマケとしてバグっぽいものが3つ仕込んであります。間違い探しの感覚で、読み進めながら見つけてみてください。合宿スタート!今回のバグハンター合宿は、湯河原の温泉旅館「おんやど恵」で開催。合宿のスケジュールは以下の通り。大量に積まれたレッドブルがこれからの戦いの長さを予感させるサイボウズが用意した、パイの実ならぬバグハンの実も合宿では4チームに分かれて、対抗戦を行う。チームは事前にサイボウズによって決められる。v3(国際基準の評価法)によって10点満点で評価される。その評価値によってチーム得点が計算され、勝敗が決まるという。※詳しくは脆弱性報奨金制度ルールブックをご確認ください当然ながら、合宿中に見つけたバグにも報奨金が支払われる。合宿を楽しみながらお金稼ぎもできるなんて、バグハンターにとって最高の環境だ。バグハントが始まると思った矢先、ちょっとしたトラブルが。参加者に事前に公開されていたルールより変更があったらしく、バグハンターから「それは脆弱性でしょう」とツッコミを入れられていた。BJ(バグハンタージョーク)だ。サイボウズのエンジニアも「お菓子がデプロイ(実装)されているのでご自由にお食べください」とEJ(エンジニアジョーク)で返すという高等テクを見せる。なんだろう、この集まり......。バグハントタイムルールのバグをつく。前日から戦いは始まっている......!いよいよバグハントが始まった。どのチームが一番始めにバグを見つけるのか...!!会場のスクリーンには、チームごとにバグを見つけた数と点数が常に表示されるようになっているバグハンターたちの熱き戦いが今始まった!!!!!!......と心の中で勝手に盛り上がっていたのだけれど、なんと始まって5分ほどで全チーム合わせて50個ほどのバグが報告されていた。スクリーンの表示がバグってる?どうやら合宿前に検証環境が配布されていたため、前日までにバグ探しをしていた人が何人もいたようだ。「事前にバグを探してはいけない」とは書かれていないというルール上のバグに気づいていた人が多かったのだ。戦いはすでに始まっている......!!ちなみに、この時点で一番バグを見つけていたのは冒頭で紹介したno1zyさんで、当日までに30個以上のバグを見つけたようだ。合宿中は黙々と作業をすると思っていたのだが、予想と違って活発に話し合いをしていた。和気あいあいとしたワークショップの雰囲気に近い。考えてみれば「すきあらばバグハントをする」共通項のある同士が集まっているのだから楽しくないわけがないのだ。中間者攻撃(*)しますよ〜?やめてくださいよ(笑)。(*)通信をしている送信者と受信者の間に入り、それぞれになりすまして、盗聴したり、データを改ざんしたりすること会話に挟む冗談も、世紀末のような発言なのが恐ろしい。首狩りますよ〜?」と言っているようなものだ。会場が静かじゃない理由はもうひとつある。バグハンターとサイボウズ社員の間での議論が活発なのだ。「そもそもバグなのか」「どのくらいの危険度なのか」は、企業側の判断に左右される。バグには無数のパターンがあるので、明確に点数を決めることはできない。ひとつのバグの危険度の基準を明確にすることは、ほかのバグにも影響するので話し合いがかなり重要なのだ。「見つけたバグがどのくらい脅威的なのか」を伝えられるかどうかは、バグハンターにとって大事な能力なのである。それによって企業側のセキュリティ意識もだいぶ変わってくるだろう。合宿では作業部屋にほぼ缶詰状態で、ビックリするくらい写真映えしないので、お昼に食べた湯河原名物である担々焼きそばの写真をみてほしい。ピリ辛でおいしかった開始1時間で100万円のバグが見つかるこれ100万円クラスのバグじゃないですか?「バグハンター合宿ってこういう雰囲気なんだな」と、一息つこうと思ったところで早くもひとつの山場がきた。なんと報奨金が100万円クラスのバグが見つかったのだとか。合宿が始まってから1時間くらいしか経っていないので「100万円」という金額に実感がまったく湧かない。バグを見つけたmage(まげ)さん。バグハンターとしてサイボウズとは数年前から関わりがある。明るい人で、合宿ではムードメーカー的存在でもあったmageさんが見つけたバグを確認するためにサイボウズの社員も一斉に集まる。たしかに最高点がつくようなバグはどんなものか見てみたいし、どうやって見つけたのかエンジニアとして純粋に気になるどうやってそんなバグを見つけたのかを簡単に言えば「暗号化して読み込んでいるプログラムを見つけて、それを解析してバグを見つけた」という感じだ。暗号化を解析......。バグの見つけ方が、予想以上にハッキングだったことに驚きだ。バグハンターは実際にWebサイトを攻撃してバグを見つけていくものなのか。自分が異質な場所にいるんだなと認識した。中間者攻撃しますよ〜?」という先ほどのボケが余計に恐ろしく感じる......。この会場にいる全員が、Webサイトを死に追いやれるデスノートを持っているようなものかもしれない。脆弱性のある箇所を発見する理屈はわかったが、「やってみて」と言われてもまったくできる気がしない。単純に一つひとつの工程をこなす知識力の高さも必要なのだが、それらを組み合わせてパズルのようにバグを見つけていくという発想力に驚かされる。一般の人がハッカーと聞いて思い描く「カチャカチャ、ターン」はこのようなことを実行していたのだ。いった技術力を持つバグハンターだからこそ、企業との信頼関係は重要になる。合宿の参加者達がサイボウズのサイトを攻撃しようと思えば、いくらでもできるかもれしれない。包丁は料理に使うものであるが、人を刺すことだってできる。誰がどう使うかが大切なのだ。いった合宿などを開き、バグハンターとの絆をつくっていくのは重要なのである。バグハンターにとっても「自由にハッキングしていい」環境があるのは大切なのだと思った。Corporationログインログインするアカウントをお選びください。以下のいずれかのアカウントでBLOGOSにログインすることができます。いずれかで認証を行う必要があります。※livedoorIDでログインした場合、ご利用できるのはフォロー機能、マイページ機能、支持するボタンのみとなります。%>ログアウトさんの、内容変更はマイページの設定でいつでもできます。ログインする方で認証ができました。ガイドラインに同意する。今までにログインしたことのあるアカウントをお選びください。同じユーザーとしてログインが可能になります。twitterでログインfacebookでログインlivedoorでログインTweetコメント。