企业借外力发现漏洞，丰田感谢腾讯

编者按：本文来自“日经中文网”，36氪经授权发布。

“我们会认真对待获得的信息”，丰田3月发布消息称，雷克萨斯品牌的SUV“NX300”被发现了漏洞。发现者是腾讯控股的安全研究团队。这是一个负责发现漏洞的专业团队，以往也被美国特斯拉等企业表彰过。

雷克萨斯“NX300”

据悉此次发现的漏洞是虽然无法进行“行驶、转弯、停车”的控制，但能远程操控车身的一部分。丰田分析称，这种远程操控“需要难度极高的程序”，现实中被滥用的可能性很低。但是，丰田没能通过自己的力量发现问题。目前在日本销售的车辆不存在这种漏洞。

丰田在被指出风险之后花费半年时间消除漏洞，在完成对策的3月公布了事实。丰田没有给予金钱方面的酬谢，但在新闻公告中表示，“对（腾讯的）技术实力表示敬意”。

企业为了发现自身产品和系统的弱点，借助外部研究人员和善意黑客的力量的趋势正在扩大。这是因为存在像丰田的案例那样通过实际攻击才能发现的漏洞。

其背后是按照发现缺陷的严重程度而支付谢礼的“bug bounty program（漏洞赏金计划）”的普及。除了美国谷歌等IT企业之外，美国星巴克和德国汉莎航空也引进了这种机制。在最大平台美国HackerOne，2019年合计有4000万美元奖金付给黑客。

日本企业对这种机制的利用也在增加。索尼互动娱乐公司6月宣布，向发现游戏机PlayStation4相关漏洞的黑客最高支付5万美元。该公司决定向社会广泛公开此前的非公开措施，以借助更多黑客的力量。在开始后约4个月后，该公司总计向黑客支付了约28万美元。此外，任天堂和LINE也在扩大奖金制度。

企业依赖的是在HackerOne注册的60万名技术人员。

“日本情报处理推进机构”（IPA）的《IT人才白皮书2020》显示，在日本，IT技术人员的7成以上隶属于富士通和NEC等IT企业。形成对照的是，美国只有不到4成的技术人员在IT企业工作。在多家企业之间辗转的技术人员也很多，也有着通过发现漏洞而更好地推销自己的动机。

2019年甚至出现了累计赚到100万美元以上奖金的黑客。那就是生活在阿根廷的Santiago Lopez，当时19岁。他通过自学掌握技术，在4年里向美国推特等多家企业合计报告了1600多个漏洞。

趋势科技（Trend Micro）的数据显示，自2019年4月至2020年3月遭受网络攻击的日本国内企业的平均受损金额达到1.48亿日元。越来越多企业认为，与受损时的成本等相比，付给黑客的奖金比较便宜。

不过，如果应对不当也会带来风险。

2019年10月，美国黑客在推特上公开了日本旅行社HIS经营的“奇怪酒店”的漏洞。据悉可以远程操控机器人的摄像头来窥视客房里的情形。黑客在酒店住宿时发现并向酒店报告了这一漏洞，“90天内没有回应，因此予以公开”。HIS当即道歉，表示已做好处理。

每年赚到500万日元（约合人民币31.9万元）奖金的黑客、三井物产Secure Directions的米山俊嗣指出，“很多海外企业会对发现漏洞并通报表示感谢。另一方面，仍有很多日本企业愤怒地认为不应多管闲事”。要充分运用黑客的知识，需要具备达到世界标准的应对能力。