אפשר לקבל ממיקרוסופט עשרות ואפילו מאות אלפי דולרים על מציאת באג? כן – בתנאי שמדובר בחולשת אבטחה אמיתית, שהדיווח עומד בכללי התוכנית ושמיקרוסופט קובעת שהוא זכאי לתגמול. תוכנית ה־Bug Bounty שלה הפכה בשנים האחרונות לתעשייה של ממש, והנתונים החדשים ממחישים עד כמה היא משמעותית.
בדוח שפרסם מרכז התגובה לאירועי אבטחה של מיקרוסופט (MSRC) ב־3 באוגוסט 2026, דיווחה החברה כי במהלך שנת הפעילות שסיכמה שילמה יותר מ־20 מיליון דולר ל־562 חוקרי אבטחה מ־64 מדינות – שיא בתשלומים ובמספר החוקרים שזכו להכרה. בתקופת הדיווח הקודמת עמד הסכום על כ־17 מיליון דולר ל־344 חוקרים.
מה זה בכלל Bug Bounty?
במקום להסתמך רק על צוותי אבטחה פנימיים, חברות טכנולוגיה מזמינות חוקרים חיצוניים למצוא חולשות במוצרים ובשירותים מוגדרים. מי שמגלה פגיעות, מתעד אותה ומדווח עליה בצורה אחראית עשוי לקבל תגמול כספי. זו אינה הרשאה לפרוץ לכל מערכת: לכל תוכנית יש היקף בדיקה מותר, כללי התנהגות ותנאי זכאות.
הרעיון פשוט: מוטב שחוקר מורשה ימצא את נקודת התורפה ויעביר אותה לצוות האבטחה, מאשר שתוקף יגלה אותה ראשון וינצל אותה. לכן איכות הדיווח חשובה לא פחות מעצם הגילוי – מיקרוסופט מבקשת צעדי שחזור ברורים, הוכחת היתכנות וניתוח של ההשפעה האבטחתית.
כמה כסף אפשר לקבל ממיקרוסופט?
התשלום תלוי במוצר, בחומרת החולשה ובהתאמה לכללי המסלול. לפי רשימת תוכניות התגמול הרשמית, תקרות התגמול המפורסמות כוללות:
- Hyper-V: עד 250,000 דולר על חולשות העומדות בתנאי המסלול.
- Microsoft Identity: עד 100,000 דולר.
- Windows Insider Preview: עד 100,000 דולר.
- Microsoft Azure: עד 60,000 דולר.
- Microsoft Copilot: עד 30,000 דולר.
- Microsoft Edge: עד 30,000 דולר.
חשוב: אלה תקרות במסלולים מסוימים, ולא פרס אוטומטי לכל תקלה. סכום בפועל עשוי להיות נמוך יותר, וייתכן שדיווח לא יהיה זכאי לתשלום כלל. מיקרוסופט אף מציינת שבנסיבות מסוימות היא רשאית לשלם יותר מהטווח הרגיל, לפי שיקול דעתה.
גם AI נמצא על הכוונת
עולם ה־Bug Bounty כבר אינו מסתכם בבאגים קלאסיים במערכות הפעלה. גם שירותי ענן, זהויות דיגיטליות ומערכות בינה מלאכותית נמצאים בתוכניות הבדיקה. במסגרת Zero Day Quest נפגשו חוקרי אבטחה מ־20 מדינות עם צוותי מיקרוסופט, ובפעילות שנסקרה הוגשו כמעט 700 דיווחי חולשות והוענקו כ־2.3 מיליון דולר בתגמולים.
מיקרוסופט הרחיבה גם את אפשרויות הזכאות במקרים מסוימים של רכיבי קוד פתוח, רכיבי צד שלישי ושירותי ענן. לפי הדוח שלה, השינוי הוביל ליותר מ־300 דיווחים נוספים וליותר מ־800 אלף דולר בתגמולים על ממצאים שבעבר לא היו עומדים בתנאים.
אז איך מתחילים – בלי לעבור על החוק?
- נכנסים לאתר תוכניות ה־Bug Bounty של מיקרוסופט ובוחרים מוצר או שירות שכלול במפורש בהיקף התוכנית.
- קוראים את כללי הבדיקה, את מגבלות סביבת המחקר ואת תנאי הזכאות לפני כל ניסיון.
- עובדים רק במסגרת המותרת, בלי לפגוע בזמינות השירות, בלי לגשת למידע של לקוחות ובלי להעתיק נתונים שאינם שלכם.
- מתעדים את הממצא, את צעדי השחזור ואת ההשפעה האבטחתית ומגישים דיווח פרטי דרך פורטל החוקרים של MSRC, לפי ההנחיות העדכניות.
- ממתינים לטיפול ולתיאום החשיפה; אין לפרסם חולשה בלתי מתוקנת בניגוד לכללי הגילוי המתואם.
אם במהלך בדיקה נחשפים בטעות לנתונים שאינם מורשים, לפי כללי מיקרוסופט יש לעצור מיד, ליידע את MSRC ולא לשתף את המידע. לא כל פעילות שמכונה ברשת "האקר אתי" אכן מותרת; ההרשאה המדויקת היא שקובעת.
למה גם מנהלי IT ובעלי עסקים צריכים להתעניין?
הנתון המרכזי אינו גובה הצ'ק שמקבל החוקר, אלא העובדה שחולשות מתגלות גם במוצרים שהארגונים סומכים עליהם יום־יום. עבור מנהלי IT, זהו תזכורת לצורך בניהול עדכונים, צמצום הרשאות, ניטור חשיפות ותגובה מהירה לממצאים – גם כשמדובר במערכות של ספק ענק.
ארגון אינו חייב להפעיל תוכנית Bug Bounty משלו כדי ללמוד מהשיטה. בדיקה רציפה של מצב האבטחה ויכולת לתעדף חולשות על פי סיכון הן צעדים שיכולים לצמצם את חלון החשיפה. למעוניינים לבחון את המצב החיצוני של הארגון, אפשר להכיר גם את MCS – Managed Cyber Security, מערכת ישראלית לניטור חשיפות וסיכוני סייבר.
השורה התחתונה
מיקרוסופט מעבירה מסר ברור: מחקר חולשות איכותי הוא חלק מההגנה על שירותים המשמשים מיליוני ארגונים ומשתמשים. למי שיש את הידע, הסבלנות והיכולת לתעד ממצא אמיתי – Bug Bounty יכול להפוך מסקרנות טכנולוגית לעיסוק מתגמל. אבל נקודת ההתחלה היא תמיד מחקר אחראי והרשאה מפורשת.
מקורות: Microsoft MSRC – סיכום 2026 (3.8.2026); תוכניות ותקרות תגמול; הנחיות הזכאות והדיווח. תמונת המחשה: Pixabay / Pexels, בשימוש לפי רישיון Pexels. התמונה אינה מציגה מערכת של מיקרוסופט.
