Microsoft סיכמה את שנת תוכניות ה־Bug Bounty הגדולה בתולדותיה: יותר מ־20 מיליון דולר שולמו ל־562 חוקרי אבטחה מ־64 מדינות. לצד העלייה בהיקף התגמולים, החברה הכניסה באוקטובר 2026 מודל חדש שמבחין בין דיווח Complete לדיווח Not Complete — הבחנה שמשפיעה על גובה התגמול גם כאשר הפגיעות עצמה אמיתית וחמורה.
שנת שיא לתוכנית Microsoft Bug Bounty
לפי מרכז תגובת האבטחה של Microsoft, בשנת התוכנית האחרונה שולמו יותר מ־20 מיליון דולר, לעומת 17 מיליון דולר ל־344 חוקרים מ־59 מדינות בשנה הקודמת. אירוע Zero Day Quest לבדו הניב כמעט 700 דיווחים ותשלומים של 2.3 מיליון דולר; הרחבת הכיסוי לאחר האירוע הוסיפה יותר מ־300 דיווחים ומעל 800 אלף דולר בתגמולים.
כמה אפשר לקבל?
- Hyper-V: עד 250 אלף דולר.
- Microsoft Identity ו-Windows Insider: עד 100 אלף דולר.
- Azure: עד 60 אלף דולר.
- Copilot, Edge ויישומים ושרתים: עד 30 אלף דולר.
- Xbox, Azure DevOps, Dynamics/Power Platform ו-Defender: עד 20 אלף דולר.
- Microsoft 365: עד 19,500 דולר; .NET וקוד פתוח: עד 15 אלף דולר.
הסכומים המרביים אינם הבטחה: הזכאות נקבעת לפי התוכנית, חומרת הפגיעה, איכות הדיווח, יכולת השחזור והעמידה בכללי המחקר.
מה השתנה: Complete מול Not Complete
כל דיווח שהוגש החל מ־20 באוקטובר 2026 בשעה 08:00 לפי שעון החוף המערבי נבדק גם מבחינת שלמותו. דירוג Complete אינו מחליף את בדיקת החומרה או הזכאות; הוא מודד אם המידע שסופק מאפשר למהנדסי Microsoft לשחזר, להבין ולתקן את הבעיה במהירות.
צ'ק־ליסט לדיווח מלא
- הוראות שחזור ברורות, עקביות וממוספרות.
- PoC מצומצם שמדגים את הפגיעות בלי קוד או שלבים מיותרים.
- סוג הפגיעות, ניתוח טכני והסבר לשורש הבעיה.
- גרסאות, פלטפורמה ורכיב מושפע מדויקים.
- תנאים מוקדמים, רמת הניצול האפשרית וההשפעה המעשית.
- לוגים, צילומי מסך, קבצי crash או artifacts אחרים הנדרשים לשחזור.
Microsoft מתירה שימוש בכלי AI להכנת דיווח, אבל אינה מורידה את רף הראיות: טקסט שנראה משכנע אך כולל פרטים לא מדויקים, קוד שלא עובד או ניתוח שלא נתמך בממצאים עלול להיחשב Not Complete.
כללי בטיחות שחוקרים חייבים לזכור
יש לעבוד רק במסגרת Rules of Engagement של התוכנית ולפעול לפי מדיניות Coordinated Vulnerability Disclosure. אם במהלך המחקר נחשפים בטעות לנתונים לא מורשים, יש לעצור, לדווח ל־Microsoft, למחוק את הנתונים ולאשר את המחיקה. המסגרת הזו היא תנאי להגנת Safe Harbor ולבחינת תגמול.
מקורות
- Microsoft Bounty Program year in review
- Complete and Not Complete report assessments
- Microsoft Bounty Programs
תמונה: Meet Patel / Pexels. רישיון Pexels Free מאפשר שימוש ועריכה באתר, ברשתות חברתיות ובשיווק. התמונה להמחשה בלבד ואינה מעידה על קשר או תמיכה מצד Microsoft. דף המקור · תנאי הרישיון.
