Microsoft выплатила $20 млн за уязвимости за год — крупнейшая выплата достигла $200 000

За 12 месяцев компания получила более 2 500 подтверждённых сообщений об уязвимостях от специалистов из 64 стран

Microsoft сообщила, что за период с 1 июля 2025 года по 30 июня 2026 года выплатила более $20 млн участникам своих программ поиска уязвимостей (bug bounty). За это время компания получила 2 531 подтверждённое сообщение об уязвимостях в рамках 15 программ, а вознаграждение получили 562 специалиста из 64 стран.

Максимальная выплата за одну найденную уязвимость составила $200 000.

В общую сумму вошли $2,3 млн, выплаченные участникам соревнования Zero Day Quest, а также около $800 000, направленные на новые инициативы по поиску уязвимостей в стороннем программном обеспечении и проектах с открытым исходным кодом. Microsoft также отметила, что во второй половине отчётного периода количество поступающих сообщений заметно выросло, связав это с высокой активностью сообщества специалистов по безопасности и всё более широким использованием искусственного интеллекта при поиске уязвимостей.

По сравнению с предыдущими годами объём выплат продолжает увеличиваться. Если в 2024 и 2025 годах Microsoft выплачивала около $17 млн ежегодно, то в период с 2020 по 2023 год эта сумма составляла примерно $13 млн в год.

Несмотря на рост программы, не все специалисты довольны взаимодействием с компанией. Исследователь, известный под псевдонимами Chaotic Eclipse и Nightmare Eclipse, опубликовал сведения о нескольких уязвимостях нулевого дня, не дожидаясь выпуска исправлений. Он утверждает, что Microsoft ненадлежащим образом обрабатывала его сообщения, игнорировала обращения, не выплачивала вознаграждения, удалила его учётную запись в программе и нарушила ранее достигнутые договорённости.