Microsoft anunció que pagará hasta 100 mil dólares a los investigadores que presenten a la compañía las fallas de seguridad que, hasta ahora, se desconocen en sus sistemas.

El gigante de Redmond dijo que el pago se dividirá en tres operaciones, las cuales incluirán técnicas de defensa y exploits en el navegador. Las tres campañas ofrecerán recompensas de 100 mil, 50 mil y 11 mil dólares.

La categoría más lucrativa estará en el descubrimiento de vulnerabilidades de día cero y técnicas de ataque en Windows. El premio de 100mil dólares se ofrecerá a los investigadores que presenten vulnerabilidades criticas en los últimos parches de la versión de Windows.

Además, 50 mil dólares serán para los investigadores que presenten a la compañía las técnicas para mitigar los riesgos críticos de seguridad. Ambos programas serán a favor de la compañía.

Un tercer programa se mantendrá por tiempo limitado y se enfocará para que los investigadores encuentren vulnerabilidades en la última versión del sistema operativo de Windows. El concurso dará comienzo a partir del 26 de junio y terminará el día 26 de julio. La recompensa será de 11 mil dólares.

“Ellos ayudarán a cubrir las brechas en el mercado actual y mejorarán nuestras relaciones dentro de esta comunidad invaluable”, dijo el gerente general, Mike Reavey, responsable del centro de seguridad de Microsoft. “Esto es con el fin de hacer más seguros nuestros productos para nuestros clientes"

El movimiento representa un giro en las nuevas medidas que Microsoft está tomando. Anteriormente, la empresa fue oponente de pagar a los investigadores por reportes de vulnerabilidades. En 2007 la firma dijo que el programa de recompensas “no es saludable” para la comunidad de seguridad.

Aún siendo controversiales, los programas de recompensas, que sirven para encontrar vulnerabilidades, se han establecido como una forma efectiva de conectar a los investigadores de seguridad con los proveedores; además, reducen la prevalencia de publicaciones de vulnerabilidades de día cero. Plataformas como ZDI de HP se dedican a la compra de reportes de vulnerabilidades de manera confidencial, mientras que Google optó pagar directamente las recompensas a los investigadores que reporten vulnerabilidades en el navegador Chrome.