ポーランド、国家バグバウンティ開始 賞金総額100万ズロチ

狙いは、責任ある形で脆弱性を報告するセキュリティ研究者のコミュニティを活性化することだ。開始時点の「対象」は5つで、www.gov.plのサイト、ヴワディスワヴォヴォ町、メッセンジャーのmSzyfr、CERT Polskaのサービス、NASKの一部サービスが含まれる。

すべてのバグが報酬対象ではない

ルールや制限、除外事項はプログラムごとに異なる。たとえばCERTのサービスでは、20の具体的な脆弱性カテゴリーが評価対象で、報奨金の上限はCVSS 4.0のスコアに基づく。報告が「情報提供」と判断された場合、報酬は支払われない。

自動ツールの利用は認められているが、リクエストは毎秒5件までと規定されている。

報告前には各対象の規約を確認したい。未確認の脆弱性や対象範囲外の報告など、誤った報告が3件に達すると、プラットフォームのアカウントが停止される恐れがある。