米コインベースが「バグ報奨金制度」を再考せざるを得ない理由

報奨金制度のあり方を問う

米大手暗号資産（仮想通貨）取引所コインベースは11月30日、システムの脆弱性を発見・報告する「バグバウンティプログラム（バグ報奨金制度）」の方針を再考すると発表した。

正当な脆弱性報告と恐喝まがいの連絡の境界線が曖昧になるという理由のほか、「企業及び個人に法的リスクが発生する」恐れがあるためだという。

コインベースが報奨金制度の方針を検証するきっかけとなったのは、配車アプリ大手のウーバーが10月、同社に対するハッキングの隠蔽工作で有罪判決を受けたことだという。

ウーバーの元最高セキュリティ責任者（CSO）は2016年、ハッカーから大量の顧客データ流出に対する身代金要求を受けとると犯人と共謀し、身代金としてではなく、バグ報告の報奨金として10万ドルの支払いを処理。顧客及び規制当局に対し、事実を隠蔽した罪に問われていた。

ウーバーでは2014年に5万人の顧客データ漏洩が発覚。その際には連邦取引委員会に報告し、セキュリティ対策を刷新した経緯がある。

コインベースは、「ウーバーの有罪判決により、業界ではバグ報奨金報告が恐喝に該当し得ると懸念する声が上がっている」と指摘。「善意から悪意」まで様々な報告を受けてきた同社が、報奨金プログラムのための責任ある報告の方法を、直近のケースを例に取り解説した。

コインベースは、11月初旬に以下のようなメールを受け取ったという。

私は3億600万人の全ユーザーデータを解読し、デハッシュ（dehash）した。御社のBCRYPTをのデハッシュ、3億600万人のユーザーデータにアクセスできるようになった。警告を無視しないように。

この人物は、「コインベースを助けたいが、データに対して他者から45万ドルのオファーを受けている」と主張。同社のセキュリティチームは、その主張の曖昧さと強要まがいの発言から、報告の正当性に強い疑念を持ったという。コインベースによると、データの「デハッシュ」や「復号」は数学的に不可能だった。

報告者に検証可能な情報提供を要請したものの提供されなかったためにケースを終了すると、ツイッター上や大手メディアに公表すると脅迫まがいの放言したとのことだ。最終的にコインベースの内部調査で、この件は「根拠のない恐喝」だったことが確認された。

ハッシュとは

ハッシュとは、データの破損や改ざんを確認するために使用される技術。直訳は「切り刻む」という意味。元データをハッシュアルゴリズムに従って、固定長のランダムに見える値に「不可逆変換」する行為。

コインベースは「責任あるセキュリティ研究者」による正当な脆弱性の発見に対しては、常に公平な態度で臨んでおり、報奨金を払うことに何の躊躇もないという。

同社は、脆弱性の報告を評価する際の重要な基準として以下を挙げている。

コインベースは、ホワイトハッカーと企業をつなぐプラットフォーム「HackerOne」と提携し、バグ報奨金プログラムを提供する。HackerOneのサービスは、米国防総省をはじめ、ツイッター、グーグル、ソニー等の主要機関・企業に利用されている。