HackerOneはどうなったのか？

目次 最近のHackerOneの状況はどうなっているのでしょうか？ウェルネスチェックが必要かもしれません。バグバウンティの世界に（1〜3年）新しく入った方は、私が何を言っているのか全く分からないかもしれません。しかし、HackerOneの黄金時代を経験した、すっかり引退したバグバウンティハンターとして、この部屋の象を無視する時ではないと思います。 文脈として、私は2017年にHackerOneでハッカーとしてスタートしました。テック業界で働き始めたとき、その実践的な経験はバグバウンティプログラムを管理する上で非常に役立ちました。なぜなら、リサーチャーが何を求めているのか、そしてどのように彼らと関わるべきかを知っていたからです。その結果、私は2018年から2025年まで、様々な企業でHackerOne上の複数の大規模なバグバウンティプログラムを管理し、両方の立場を経験しました。これから話すことは、リサーチャーとしてもバグバウンティプログラムマネージャーとしても、そしてHackerOneと公私にわたって長年直接対話してきた経験に基づいています。 背景 まず、HackerOneが元々何を目的として設計されたのかを理解することが重要だと思います。2011年、2人のエシカルハッカー、Jobert AbmaとMichiel Prinsは、大手テック企業100社のセキュリティ脆弱性を発見することを目指しました。彼らは成功し、Google、Facebook、Apple、Microsoft、Twitterなど、多くの企業でバグを発見しました。この時期、エシカルなセキュリティリサーチの状況は、リサーチャーにとってリスクが高く、法的に疑わしく、非常に恐ろしいものでした。個人的な法的責任が大きかっただけでなく、セキュリティ脆弱性を発見・報告したハッカーが犯罪で起訴され、投獄される事例も複数ありました。これの多くは、特定の恣意的な境界線が引かれており、それを越えると悪意のあるアクターとみなされるが、越えなければ、潜在的に悪意のあるアクターだが技術的にはそうではない、という状況でした。 HackerOneのようなバグバウンティプラットフォームは、この問題を直接解決するために設計されました。企業とハッカーがつながる安全な相互空間を創出し、エシカルハッカーが企業にセキュリティ脆弱性を報告し、その対価として報酬を得られる道を開きました。これは大きなマイルストーンでした。顧客データを漏洩するIDORを発見しても、裁判（または投獄）に引きずり込まれる心配をする必要がなくなりました。代わりに、「ありがとう」と現金の報酬を得て、皆を少し安全にすることができたのです。このオペレーティングモデルは、バグバウンティの基盤となり、その後5年以上そのままでした。 HackerOneの黄金時代とライブハッキングイベント この期間、ビジネスには非常に強く明確な焦点がありました：ハッカーにとって最高の製品をどのように作るか？日々のビジネスを運営していた人々はハッカー、ハッカーに近い人々であり、ほとんど（あるいは全て）が定期的にハッカーと直接顔を合わせていました。2017年から2020年まで、HackerOneは数ヶ月ごとにライブハッキングイベント（LHE）を開催していました。これらは、世界中のトップバグバウンティリサーチャーが特定の場所に集まり、ターゲットを与えられ、クリティカルな脆弱性を徹底的に発見する、特別なイベントでした。 LHEはプログラムにとって非常に価値がありました。1〜3日間の期間中に、それまで1年間で得られたであろう数よりも多くの高深刻度およびクリティカルなセキュリティレポートを得ることができました。各イベントには、グラフィック、ハッカーのユーザー名、ステッカー、チャレンジコインを備えた、1点もののカスタムデザインポスターがありました。HackerOneとそのトッププログラムにとって、これがどれほど信じられないほど生産的な時期であったかを過小評価するのは困難です。これらのイベントは特別で非常に切望されており、招待状や+1（同伴者枠）はほぼそれ自体が通貨でした。そして、これらのイベントの雰囲気はシュールでした。 世界中への無料のフライトとホテルが提供され、数日間、世界で最も優秀でスキルフルなバグバウンティハンターたちに囲まれて過ごしました。これらのリサーチャーは、独自の新しいテクニックを使用して、最も影響力のあるバグのいくつかを定期的に発見し、その間、どこでも再現できないような一対一の会話でヒントやトリックを共有していました。ライブハッキングイベントが登場する前は、ほとんどのセキュリティリサーチャーのコミュニティは小さく孤立しており、情報を公開で共有することはほとんど聞かれませんでした。LHEは、セキュリティリサーチャーがお互いに繋がる方法を生み出し、実質的にinfosec内に全く新しいコミュニティを創り出したのです。今日私の親友の多くは、ライブハッキングシーンで出会った人々であり、そのことについてHackerOneに非常に感謝しています。 LHEは、HackerOneがセキュリティリサーチャーのためにコミュニティを構築・確立した唯一の分野ではありませんでした。彼らは、ミートアップ、オンラインイベント、ワークショップ、CTFを組織するためのHackerOneコミュニティスペースを作成しました。彼らは地域クラブを作成し、そこに住むハッカーをアンバサダーに任命して、世界中のローカルリサーチャーコミュニティを育成・成長させるのを助けました。 しかし、ゆっくりと、しかし確実に、状況は変化し始めました。コミュニティグループやイベントは勢いを失い、 fizzle out（消えていった）しました。カスタムデザインのシルクスクリーンLHEポスターは、低品質のレーザープリントに変わりました。信じられないほどのイベントを作成・実行するために何年も費やした人々は解雇されるか、去っていきました。LHEの招待およびスコアリングシステムは、（さらに）排他的で、ゲーム化され、極めて計算高くなりました。そして一つずつ、ドミノが倒れていきました。 利益の問題 さらに進む前に、起こり始めたこれらの変化の「なぜ」に立ち入ることが重要だと思います。2020年か2021年頃、HackerOneは、すべてのビジネスがいつか自問しなければならない非常に重要な質問に直面することを余儀なくされました：「どうやってお金を稼ぐのか？」HackerOneがビジネスとしてどのように存続できたかを理解するには、まず、HackerOneがその存在の最初の10年間、基本的に完全にVCマネーで運営されていたことを知る必要があります。2014年から2022年の間に、同社はほぼ2年ごとにシードラウンドを行い、合計1億6000万ドルを調達しました。企業が自己持続的である場合、非常に高いバーンレートがない限り、資金調達を続ける理由はほとんどありません。これは、インフラストラクチャと技術革新が非常に少ない企業にとっては奇妙でしょう。 VCについて何か知っていれば、それがどのように機能するかはわかります。彼らはお金を与え、その見返りに、取締役会の議席、アドバイザリーポジション、その他のレバレッジメカニズムを通じて、ビジネスの間接的な支配権を与えます。VCがお金を与えたので、VCが力を得るのです。ローマは一日で滅びず、HackerOneも滅びませんでした。パラダイムシフトはゆっくり始まり、そして一気に起こりました。 プラットフォームを駆動するコアテクノロジーは停滞し始めました。プラットフォーム内でほとんど変化がありませんでした。UIは古く「機能的」なままでした。パフォーマンスは不足していました。しかし、VCはプレイブックを見て、お金を稼ぐ最も簡単な方法は単純であることに気づきました：より多くの顧客を獲得することです。 まず、創業CEOはコーポレートCEOに交代しました。支払われた賞金の20％のカットから、容量ベースの料金体系、年次契約、顧客を複数年の契約にロックすることに移行しました。そして、セールスです。セールス、セールス、セールス！！彼らは、セールスこそがビジネスの生命線であると完全に確信していました。そのため、会社をハッカー中心にするのではなく、セールスに傾倒しました。より多くの顧客＝より多くの年次契約＝より予測可能な長期収益です。 顧客がロックインされると、彼らは統計と数字を与えられ、満足させられるように（しかし、要求を低く保つためにも）うまく扱われます。契約更新の時期が来ると、彼らをロックインして支払い続けるために、複数年の契約と引き換えに大幅な（30〜60％）割引が提供されます。アカウントマネージャーは顧客と定期的に会議を行い、ハッカーにとって競争力があり魅力的な状態を維持するために、賞金を増やすよう奨励します。彼らはあなたにこう言いました、「ハッカーは最も高額なプログラムに集中して時間を費やしたいのです」。HackerOneはこのことを誇りに思い、社内でその行動を奨励しました。彼らは報酬、無料の休暇を与え、急速に成長する営業チームにできるだけ多くの新規顧客を獲得するよう奨励しました。これが続くにつれて、関係者全員にとって状況は悪化し続けました。