少し前の話ですが、Googleが自身のWebサイトの脆弱性発見者に対して、報酬（現金 500 USD以上）を支払うプログラムをはじめています。
Google Online Security Blog: Rewarding web application security research
過去にも、脆弱性の発見者に報酬を支払うプログラムはありましたが、Webブラウザ等のソフトウェアの脆弱性が対象でした（参考）。
今回のプログラムでは、Webアプリの脆弱性が対象だというところが特色です。しかも、実際に運用されている本番のGoogleサイトの脆弱性が対象です。その脆弱性の発見者に報奨金を払うということは、（一定の制約は設けていますが）基本的に自由に本番サイトの検査をしてよいといっているわけです。
実際にやってみる
Webアプリの診断をやっているものにとっては、これ以上のお小遣い稼ぎはない！と思って私も参加してみました。20〜30ページくらい見れば、XSSくらいは簡単に見つかるだろうと思っていたのもあります。
ですが、始めてすぐに、さすがにGoogleというべきか、trivialな脆弱性はまず見つからないだろうということに気が付きました。かなり堅い作りがされているということです。しかも、自動検査ツールは使えないし（使ってはならないと決められている）、JavaScriptは殆どminifyされているし・・・ということで、脆弱性を探すのはかなり骨がおれる作業になりました。
結局、数日かけてなんとか2件脆弱性を発見して報告しました。発見した脆弱性の内容は修正完了後に公開してよいことになっています。私が発見した2件は、まだ一部直っていないものがあるようです。修正されたら公開しようと思います（Googleも公開することを推奨しています）。
報告〜お金を受け取るまでの流れ
Reward Programに興味のある方もいると思いますので、報告〜お金を受け取るまで書いてみます。
まずはレポートです。発見した脆弱性の内容を英語で書いて、メールで報告しました。報告先のメールアドレスはこちらに書かれています。
今回は報告した2件とも、報奨対象の脆弱性と認められました（ものによっては対象外とみなされることもあるようです）。
脆弱性を報告してから1週間もたたないうちに、
Congratulations! The panel has decided to award you $1000 for the vulnerability.
というようなメールが来ました。いかにも怪しい書き出しのメールですが本物です。今回は、報告した2件のうち1件（XSS）は1,000 USD、もう1件（ロジック系）は500 USDということでした。金額は、脆弱性の危険度や"賢さ度合い"によって決まるとのこと。
あとは報酬の受け取りです。Googleから手順を書いたメールが来るので、その通りにすればよいのですが、少々手間です。
まずは、Googleのサイトでsupplier登録します。Googleに対して物品やサービスを納品するベンダ（会社や個人事業主）として登録することで、Googleから支払いを受けられるようになるわけです。ここでは氏名や銀行口座等を登録します。受け取るお金は米ドルですが、銀行に問い合わせたところ、通常の円建ての普通口座でも問題なく受け取れる（日本円になって入金される）ということだったので、私は日本の銀行の普通口座を登録しました。
次にW8BENフォームの提出を求められました。W-8BENフォームの記入方法（書き方）を参考にしてPDFのフォームに記入してプリントアウトし、手書きで署名したものをスキャナーで読み込んで、メール添付で送りました。
このW8BENを提出すると、私のように米国外に居住している人間は、米国で所得税を源泉徴収されなくなります。しかし、日本での納税の義務はあります（私のようなサラリーマンなら、給与以外の所得は年間20万円まで非課税だと思いますが、各々確認ください）。
最後に、脆弱性の報告者として自身の名前を公表して欲しい場合はその旨を連絡します。名前はこのページに載りました（私以外にも日本人ぽい名前がのってます）。
なお、お金の方はW8BENを送ってから3週間ほどで「振り込んだよ」というメールが来ました。確認したところ口座に入金されていました。
実際にやる場合は
以下のページに色々と注意事項などが書いてありますので、まずは一読を。
Google Online Security Blog: Rewarding web application security research
