アップルは、デバイスやアプリの脆弱性を発見し報告するセキュリティ研究者に対して、最大2億円（約2,000万ドル）のバグ報奨金を提供すると発表しました。しかし、あるセキュリティ研究者が報告したSafariの脆弱性は「重大」と評価され、10点満点中9.8のスコアを付けられたにもかかわらず、支払いはわずか1万円（約1,000ドル）だったということです。
アップルは2022年にセキュリティ報奨金プログラムを強化し、平均的な支払い額が約620万円（約4万ドル）であるとし、これまでに20件の「高影響の問題」に対して6桁の金額を支払ったとしています。例えば、ある学生がMacとiPhoneのカメラをハイジャックすることに成功し、1,750万円（約17万5,000ドル）が支払われたケースもありました。
しかし、Macworldによると、Safariの重大なセキュリティホールを発見した研究者には、わずか1万円が支払われたということです。
X上でRenwaX23という名前で活動する研究者が、重大なセキュリティホールに対する報奨金について投稿しました。この脆弱性はSafariにおけるユニバーサルクロスサイトスクリプティング（UXSS）で、攻撃者がユーザーになりすましデータにアクセスできるタイプのものです。RenwaX23は、この脆弱性を利用してiCloudやiOSのカメラアプリにアクセスできることを示しました。
この脆弱性は「重大」と評価され、スコアは9.8（10点満点中）でした。CVE-2025-30466として記録され、アップルは3月にiOS/iPadOS 18.4およびmacOS 15.4のアップデートでSafari 18.4において修正しました。RenwaX23はこのバグの発見に対して、わずか1万円の報奨金を受け取ったということです。
一方で、攻撃者がエクスプロイトを使用する前にユーザーを騙して行動させる必要があるため、支払いが低くなった可能性があるとされています。アップルは、報奨金を決定する際にユーザーの操作が必要かどうかを基準の一つとしているとしています。
しかし、別の投稿者は、アップルの基準によれば5,000万円（約5万ドル）の支払いが見込まれる脆弱性を発見したにもかかわらず、受け取ったのは50万円（約5,000ドル）だったと述べています。
9to5Macの見解では、アップルの実際のリスク評価が適切であり、1万円の支払いが妥当である可能性があるとしつつも、重大性の評価と提供された金額の間に大きなギャップがあるように見えるということです。
非常に低い報奨金は、脆弱性を発見した者がそれをアップルに報告するのではなく、ブラックマーケットで販売することを促す可能性があると指摘されています。重大な脆弱性に対する報奨金は、アップルデバイスをハッキングすることを目的とする企業によって最大5億円（約500万ドル）に達することもあるということです。
