比較0
無料・登録不要｜公式公開情報を確認日つきで掲載掲載基準
業務別

バグバウンティの報奨金の決まり方：重大度・上限額・対象外と参加条件

公開 書き手：成果報酬ハブ 運営事務局

バグバウンティの報奨金は、制度を運営する企業が、報告された脆弱性の重大度・影響・報告の質をもとに判断して決めます。掲載例の金額の示し方は、重大度ごとの目安額、分類ごとの上限額、1件あたりの範囲、金額の記載なしに分かれ、いずれも最終的な額は運営する企業の判断です。報奨金の対象は有効と認められた報告だけで、重複・対象外の報告や、参加条件を満たさない人の報告には支払われません。

この記事は報告する側から見た報奨金の決まり方を扱います。企業が仲介プラットフォームで制度を作る場合の報奨金と利用料、Skyの算出式はIT復旧・セキュリティの依頼前の確認点にあります。

金額の示し方

掲載示し方金額確認日
GitHub Bug Bounty（GitHub）重大度ごとの目安額公開プログラムの目安：Critical 10,000米ドル、High 5,000米ドル、Medium 2,000米ドル、Low 250米ドル。非公開プログラムは Critical 30,000米ドル以上〜Low 1,000米ドル2026年10月24日
Meta Bug Bounty（Meta）分類ごとの上限額と最低額最低500米ドル。モバイルのリモートコード実行 最大300,000米ドル、アカウント乗っ取り 最大130,000米ドル、2要素認証の回避 最大20,000米ドル（いずれもボーナス前）2026年10月24日
Samsung Mobile Security Rewards Program（Samsung）1件あたりの範囲対象となる報告1件あたり200米ドル〜1,000,000米ドル2026年10月24日
Microsoft Bounty Programs（Microsoft）プログラムごとの上限額Cloud Programs 最大100,000米ドル、Endpoint & On-Prem Programs 最大250,000米ドル、Zero Day Quest 最大100,000米ドル2026年10月23日
LINE WORKS Bug Bounty Program（LINE WORKS）記載なし金額・算定基準の記載なし（内容に応じた報酬と記載）2026年10月24日

目安額・上限額は支払いを約束する額ではありません。GitHubは額は保証ではなく個別に評価すると説明し、製品ごとの指針があればそちらが優先されると掲載されています。Metaの指針も目安で、審査チームが個別に判断します。

金額を決める要素

  • 重大度：GitHubは Critical から Low までの重大度で目安額を分けています。
  • 影響の大きさ：GitHubは影響を受ける製品、示された影響、悪用の容易さ、影響を受ける利用者の割合などで評価します。Metaは想定される最大のセキュリティ影響にもとづいて額を決めます。
  • 影響を下げる要素：Metaは分類ごとの上限額から、影響を下げる要素が多いほど減額します。
  • 報告の質：Microsoftは再現手順・PoC・分析の質が高い報告ほど高額としています。Samsungは端末側の High・Critical で PoC と報告テンプレートが完全な場合、基本報奨の2倍です。
  • ボーナス：Metaは Hacker Plus のボーナス加算があり、表の上限額はボーナス前の額です。

上限額は分類・プログラムの最大値のため、同じ分類の報告でも、影響や報告の内容によって額が下がります。

報奨金が支払われない報告

理由掲載の例
重複GitHubは最初の有効で再現可能な報告だけが対象
報告の形式Samsungは報告テンプレートの提出が必須で、メールでの直接報告は不可。PoC のない報告は対象外と列挙
対象外の脆弱性・対象範囲外GitHubは DoS、ローカルアクセスだけで成立するもの等を対象外のページに列挙。Samsungはサードパーティー製ソフトの脆弱性、ほかの報奨制度の対象となる脆弱性などを対象外と列挙。LINE WORKSは既知・報告済み・再現しない脆弱性やセルフXSSなどを対象外と列挙
多層防御の指摘GitHubは報奨金なし（グッズ）
禁止された検証Metaは他人のアカウント・データへの無断アクセスや修正前の公開を禁止。Microsoftは顧客データへのアクセス・改変やサービス妨害を禁止。LINE WORKSは高負荷攻撃などサービス全体に影響する操作をしないことを求める
請求の期限Metaは通知から6か月以内に請求しないと報奨が失効

成果を有効・無効で判定する業務の見方は成果を数えやすい業務・数えにくい業務で扱います。

参加できない人の条件

報告の内容が有効でも、報告する人が条件に当たると報奨金は支払われません。

  • 従業員・関係者：GitHubは現従業員・契約者と直近6か月以内に在籍した者、Metaは従業員・契約者等とその家族、Samsungは従業員・関係者とその家族を対象外としています。
  • 居住国：GitHubは米国の制裁対象者・制裁対象国の居住者、Metaは米国の輸出制裁・貿易制限の対象国の居住者、Samsungは米国・EU・韓国等の制裁対象国の居住者を対象外としています。
  • 年齢：Metaは14歳以上で、未成年は保護者の許可が必要です。
  • 規約への同意：GitHubは利用規約への同意、Microsoftは Coordinated Vulnerability Disclosure と Rules of Engagement に従うことが条件です。

LINE WORKSは参加資格・支払方法・受付期間の記載がなく、応募前に確認が必要と詳細ページに記載しています。GitHubは報奨金の税は報告者の負担と掲載しています。GitHubはプログラムを同社の判断で終了できるとしています。

関連する検索と用語

バグバウンティ・脆弱性発見報奨制度、IT復旧・セキュリティの料金の一覧、個別に定める成果の検索、成果の定義、依頼して支払う・紹介して受け取る・共同事業で分け合うの違い

掲載サービスの条件は確認日時点のものです。契約前に公式情報で最新の条件を確認してください。掲載基準

この記事で取り上げたサービス

5件
紹介して受け取る公式ページで確認済み

GitHub Bug Bounty

GitHub, Inc.
成果地点
個別に定める成果 対象範囲の脆弱性を HackerOne から報告し、GitHub が重大度と報奨額を判定したとき。重複は最初の有効で再現可能な報告だけが対象
受け取る報酬・分配
公開プログラムの目安：Critical 10,000米ドル、High 5,000米ドル、Medium 2,000米ドル、Low 250米ドル。非公開プログラムは Critical 30,000米ドル以上〜Low 1,000米ドル。多層防御の指摘は報奨金なし（グッズ）
初期費用・固定費等
参加費の記載なし
IT復旧・セキュリティ確認 2026/10/24
紹介して受け取る公式ページで確認済み

Meta Bug Bounty

Meta Platforms, Inc.
成果地点
個別に定める成果 対象の製品・システムのセキュリティ上の不具合を報告し、Meta が報奨の対象と判断したとき。額は想定される最大のセキュリティ影響にもとづく
受け取る報酬・分配
最低500米ドル。分類別の上限例：モバイルのリモートコード実行 最大300,000米ドル、アカウント乗っ取り 最大130,000米ドル、2要素認証の回避 最大20,000米ドル（いずれもボーナス前）
初期費用・固定費等
参加費の記載なし
IT復旧・セキュリティ確認 2026/10/24
紹介して受け取る公式ページで確認済み

Samsung Mobile Security Rewards Program

Samsung Electronics Co., Ltd.
成果地点
個別に定める成果 対象の端末・サービス・アプリの脆弱性を、再現手順と動作する PoC を付けて専用の受付システムから報告し、Samsung が報奨の対象と判断したとき
受け取る報酬・分配
対象となる報告1件あたり200米ドル〜1,000,000米ドル
初期費用・固定費等
参加費の記載なし
IT復旧・セキュリティ確認 2026/10/24
紹介して受け取る公式ページで確認済み

Microsoft Bounty Programs（MSRC）

Microsoft
成果地点
個別に定める成果 プログラムの対象範囲・ルールに沿って報告され、重大なセキュリティ影響があると認められた新規の脆弱性
受け取る報酬・分配
上限例：Cloud Programs 最大100,000米ドル、Endpoint & On-Prem Programs 最大250,000米ドル、Zero Day Quest 最大100,000米ドル
初期費用・固定費等
参加費の記載なし
IT復旧・セキュリティ確認 2026/10/23
紹介して受け取る一部の条件は確認できず

LINE WORKS Bug Bounty Program

LINE WORKS株式会社
成果地点
個別に定める成果 対象の脆弱性を「脆弱性報告」ページから報告し、報酬の対象と認められたとき
受け取る報酬・分配
金額・算定基準の記載なし（内容に応じた報酬と記載）
初期費用・固定費等
参加費の記載なし
IT復旧・セキュリティ確認 2026/10/24

出典

業務別の記事

カテゴリの記事一覧
  • 成果報酬型SEOの料金：順位連動・日額・月額上限と対象キーワード

    成果報酬型SEOの料金は、対象キーワードが基準順位に入った日数や順位に応じて発生します。クロスウォークとGMO SEO+の掲載条件から、日額・月額上限・個別見積・キーワード変更時期の見方を整理します。

    公開

  • 採用の成果報酬：人材紹介手数料の計算と返金規定

    理論年収に料率を掛ける人材紹介では、理論年収の定義で紹介手数料が変わり、早期退職時の返戻率で返戻額も変わります。月給×14か月の定義や公開料率を使い、手数料から返戻まで仮の金額で算出する例を示します。

    公開

  • アポイント獲得代行の成果報酬：1件の定義と単価

    アポイント獲得代行では「1件」を、予約設定・実施済み・一次面談への着座などに分けて定義しています。掲載例から、成果単価の対象と表示価格・非公開条件、リードとアポイントの区分を整理します。

    公開

  • 自費出版・電子出版の印税計算と著者の受取額

    電子出版の印税から著者の受取額を試算し、制作・編集費用を差し引いた収支を考えます。KDPとBOOK☆WALKERの掲載条件を使い、販売数や制作費を仮に置いた計算例と、公開情報では確定できない控除を分けて示します。

    公開

  • 着手金と成功報酬（報酬金）の違い：士業の料金の形

    士業の掲載料金には、契約時の着手金と回収後の報酬金を併用する形があります。請求額と回収額を分けた仮計算に加え、ベリーベスト法律事務所などの着手金0円の適用条件と、別に発生する事務手数料・実費を整理します。

    公開

  • 物流費削減コンサルの成功報酬：削減額の算定基準と仮計算

    物流費削減の成果報酬では、単価差×数量で算定する掲載と基準・期間を個別に決める掲載があります。仮の単価・購入量で、請求総額の減少と単価差による削減額を分けて試算し、サーゲル、オザックス、サンキョウの公開条件と確認日を示します。

    公開

  • システム開発をレベニューシェアで依頼するときの分配

    システム開発の分配額は、売上を基準にするか、合意した費用を差し引いた利益を基準にするかで変わります。共同開発の掲載例の費用負担・利益定義を確認し、開発費の支払者と分配前に控除する費用を分けた仮計算を示します。

    公開

  • 口座開設・申込アフィリエイトの成果条件

    金融商品のアフィリエイトでは、口座申込と口座開設のどちらを成果とするかの表記が掲載ごとに異なります。掲載条件から、成果となる行動、ASPの審査、非公開の承認条件や報酬額を分けて確認する方法を整理します。

    公開

  • M&A仲介の成功報酬：レーマン方式の計算・最低報酬・基準になる金額

    M&A仲介の成功報酬は、基準になる金額を区分に分けて料率を掛け、最低報酬と比べて決まります。日本M&Aセンター、M&A総合研究所、M&Aスターキャリア、M&Aミライ・パートナーズの掲載条件と仮の数値で、区分ごとの計算と最低報酬が適用される範囲を示します。

    公開

  • MEO対策の成果報酬：日額課金の計算・月額上限・契約期間中の料金

    成果報酬型のMEO対策は、地図検索で3位以内に入った日数に日額を掛けて月の料金が決まります。コウヘイデザイン、GreenHill、GH、GRENADEの掲載条件と仮の日数で、月の料金、月額上限、無料期間、最低契約期間中の料金の幅を計算します。

    公開