著名なセキュリティ研究者が、アップルがmacOSの脆弱性発見に対する報奨金を削減したと報告しました。多くの報奨金が半減され、一部は3万ドル（約460万円）から5千ドル（約80万円）にまで減少したということです。
セキュリティ研究者のチャバ・フィッツル氏によれば、これはアップルがMacに関心を持っていないことを示唆しており、脆弱性が報告されずにブラックマーケットで販売される可能性が高まるとしています。
フィッツル氏は、新しい報奨金の例をLinkedInに投稿しました。TCC（透明性、同意、制御）フレームワークの完全な回避が3万500ドル（約470万円）から5千ドル（約80万円）に減少したとしています。個別のTCCカテゴリも5千ドルから1千ドル（約16万円）に減少しているということです。
TCCは、アプリがユーザーの明示的な許可を得てのみ敏感な個人データにアクセスできるようにするための仕組みです。完全なTCC回避は、アプリがユーザーの同意なしにMacユーザーのプライベート情報にアクセスできるようになることを意味します。
過去には、TCCの深刻な脆弱性がいくつか発見されており、攻撃者が同意データベースを変更してmacOSにユーザーが許可を与えたと誤認させるものや、正当なアプリにすでに与えられたTCC許可を悪用するコードインジェクション攻撃がありました。
フィッツル氏は、Macプラットフォームに焦点を当てるセキュリティ研究者は少なく、報奨金がさらに減少したことでその数がさらに減少する可能性があると指摘しています。また、発見された脆弱性がアップルに報告されず、ブラックマーケットで販売されるリスクも増加するとしています。
このような変更が、Macのマルウェアが増加している時期に行われるのは不可解だということです。アップルにコメントを求めており、回答があれば更新する方針です。
