ユナイテッド航空、初の航空会社バグ報奨金を現金ではなくマイレージで支払う

ユナイテッド航空が同社のウェブサイトやアプリの脆弱性を報告した研究者に報いるバグ報奨金プログラムを開始してから2か月後、セキュリティ研究者のジョーダン・ウィーンズは最初の報酬として100万マイルを受け取った。彼は航空会社のウェブサイトにおけるリモートコード実行の脆弱性の詳細を提出し、その入金が彼のマイレージ口座に現れた。

ユナイテッドはバグ報奨金プログラムを開始した最初の航空会社であり、セキュリティ研究者を自社便の1つから搭乗禁止にしたことで厳しく批判された後、2015年5月にこれを発表した。支払い構造は異例である。ほとんどのベンダーの報奨金プログラムは500ドルから25万ドルの間で変動する現金を支払うが、ユナイテッドはマイレージのみを支払う。ウィーンズの100万マイルの現金価値は約2万5000ドルであった。

マイルは脆弱性の規模に応じて変わる。クロスサイトスクリプティングは5万マイル、認証バイパスは25万マイルを獲得でき、攻撃者が望む悪意のあるコードを遠隔から実行できるリモートコード実行の脆弱性は最高額の報酬を獲得する。これまでバグ報奨金プログラムに提出したことがなかったウィーンズは、リモートコード実行だとかなり確信していたが「しょぼい」と思っていた2件のバグを提出し、5万マイルかそれ以下の報酬を予想していた。彼が米国市民であり、研究が米国内で行われたことを確認した後、ユナイテッドは彼にマイレージ口座を確認するよう伝えた。

航空会社が自ら発行する通貨で報奨金を支払う。100万マイルは約2万5000ドルとして読まれ、見出しを飾るが、セキュリティ予算から現金を支払うことはない。

このプログラムは敵対的な関係をパイプラインに変えた。研究者を便から搭乗禁止にしたことでユナイテッドが批判された直後に発表されたのである。

マイルはユナイテッド自身が発行する資産であるため、約2万5000ドル相当の見出しになる報酬でも現金はかからない。一方、競合プログラムは脆弱性1件につき最大25万ドルを支払っている。

重大度をマイルで価格設定すること（5万、25万、リモートコード実行に最高額）により、研究者はどの脆弱性を追う価値があるかの公開為替レートを得られる。

初めての接触で効果を発揮した。初めて報奨金を提出した人物がリモートコード実行の脆弱性を発見し、開始から2か月以内にプログラム初の報酬を受け取った。

報奨金の見出しの価値と支払者にとってのコストは一致する必要はない。自分で発行する資産で支払い、報酬を意味があるほど大きく保ち、取引から現金を排除すればよい。

ウィーンズの100万マイルの報酬はプログラム初の報酬であり、2015年5月の開始から約2か月後に与えられた。ユナイテッドは支払い前に、提出者に資格（米国市民権と米国内で行われた研究）の確認を求めた。