ゼロデイ脆弱性の売買市場とは｜エクスプロイトブローカーの報酬相場とグレーマーケットの実態

「見つけた脆弱性を報告したら数万円の謝礼」——バグバウンティの世界とは別に、同じ脆弱性を「未公開のまま」買い取り、数百万ドルを支払う市場が存在します。それが「ゼロデイブローカー」と呼ばれるゲートウェイ企業たちです。なぜ企業への報告より高い値がつくのか、誰がそのお金を出しているのか、そして日本にはどう関係するのか。公開されている価格情報をもとに整理します。

ゼロデイ脆弱性とエクスプロイトとは

Webアプリケーションの脆弱性のように広く知られたバグとは異なり、ゼロデイは「誰も知らない」からこそ価値を持ちます。この価値に目をつけ、脆弱性を専門に買い取る企業が生まれました。

市場は1つではない：合法・グレー・闇の3層構造

ゼロデイ脆弱性の取引は、性質の異なる3つの市場に分かれています。

さらにその外側には、ダークウェブ上でランサムウェア集団や犯罪組織がエクスプロイトを直接売買する「闇市場」もあります。合法市場とグレー市場の境界にいる研究者にとって、「ベンダーに報告するか、ブローカーに売るか」は倫理的にも経済的にも大きな分岐点になります¹。

実際にいくらで売れるのか：Crowdfenseの公開価格

グレー市場のブローカーの中でも、アラブ首長国連邦拠点のCrowdfenseは価格表の一部を公にしていることで知られています。2024年に発表された買い取りプログラムでは、対象領域をエンタープライズソフトウェアやWi-Fi/ベースバンド、メッセンジャーアプリにも拡大し、プログラム全体の予算枠を3,000万ドルに引き上げました²。

ブラウザ単体では、SafariとChromeのゼロデイがそれぞれ最大350万ドル・300万ドル程度とされています³。これらはあくまで「フルチェーン」（初期侵入から権限昇格、持続化まで一気通貫で成立する攻撃一式）に対する上限額で、部分的なチェーンや技術的な条件次第で価格は個別に調整されます。同じ種類の脆弱性でも、HackerOneのバグバウンティで得られる報酬（バグバウンティの記事で紹介した一般的なCriticalの相場は数千〜1万5千ドル程度）と比べると、桁が2〜3つ違うことがわかります。

老舗Zerodiumの失速とプレイヤーの交代

グレー市場を長年けん引してきたのが、2015年設立の米Zerodiumです。かつては公開の価格表で「iPhoneのフルチェーンに最大200万ドル、Androidに最大250万ドル」を提示し、業界の相場観そのものを作った存在でした⁵。

Zerodiumが表舞台から退いた一方で、Crowdfenseのように価格表を公開しながら事業を拡大するブローカーや、非公開のまま活動する仲介者の存在感が増しています。業界誌の報道では、AI関連製品の防御が強化されるほどエクスプロイトの希少性が上がり、価格自体は年々上昇傾向にあると指摘されています⁶。

日本にも関係する規制：ワッセナーアレンジメント

「海外の話」に見えるゼロデイ市場ですが、日本にも法的な接点があります。エクスプロイトのように「情報システムへの侵入を目的としたソフトウェア」は、通常兵器の輸出管理に関する国際的な枠組み「ワッセナーアレンジメント」の対象品目に位置づけられており、日本を含む参加国は外国為替及び外国貿易法（外為法）に基づき、該当する技術やプログラムの輸出・提供に許可を必要とする場合があります⁷。

まとめ

• ゼロデイ脆弱性の取引市場には、修正を目的とした「合法市場」、政府機関向けに未公開のまま売買する「グレー市場」、犯罪組織が使う「闇市場」という異なる3層がある
• グレー市場のCrowdfenseは、iOSのゼロクリック フルチェーン脆弱性に最大900万ドル、Androidに最大500万ドルを支払う価格表を公開しており、バグバウンティの数十〜百倍規模の報酬になりうる
• 老舗ブローカーZerodiumは2025年1月にウェブサイトを実質閉鎖したが、水面下での活動継続が指摘されており、Crowdfenseなど他プレイヤーの存在感が増している
• ゼロデイエクスプロイトはワッセナーアレンジメントの輸出管理対象に含まれ、日本を含む参加国では外為法上の規制がかかりうる法的な論点でもある

もう少し詳しく（背景）

ゼロデイ市場が拡大し続ける背景には、ソフトウェアの防御力そのものが年々向上しているという皮肉な事情があります。OSやブラウザのサンドボックス化、メモリ安全性の高い言語への移行、AIを使った自動的な脆弱性検出の普及によって、そもそも「使えるエクスプロイト」を作ること自体の難易度が上がっています。難易度が上がれば、それを開発できる少数の研究者やチームへの支払いは高騰する一方です。TechCrunchなど業界メディアが報じるように、価格上昇のトレンドは今後も続くと見られています⁶。

もう一つの構造的な問題は、グレー市場が「合法」と「違法」の間の曖昧な領域で成立している点です。ブローカーの多くは自国の輸出管理法を遵守していると主張しますが、最終的に脆弱性がどの国のどの機関に渡り、誰を監視するために使われるかまでは、外部から検証しづらいのが実情です。NSO Groupの事例が示したように、正規のビジネスとして始まった取引が、人権侵害的な監視活動につながるリスクは常につきまといます。セキュリティ研究者にとって「見つけた脆弱性をどこに報告するか」は、収入だけでなく倫理観が問われる選択でもあり、バグバウンティ（脆弱性報奨金制度）とはの記事で扱った「合法な報告先を整備すること」の重要性は、このグレー市場の存在と表裏一体の関係にあります。

Footnotes

1. Packetlabs「Demystifying The Market For Zero-Day Software Exploits」（2026年6月更新）による、合法市場・グレー市場・闇市場の3層構造の整理、およびZerodium・Crowdfenseの概要。 ↩

2. Crowdfenseは2024年、Android・iOS・Chrome・Safariに加えエンタープライズソフトウェア、Wi-Fi/ベースバンド、メッセンジャーアプリを対象に含む買い取りプログラムを発表し、プログラム予算総額を3,000万ドルに拡大したと複数の専門メディア（SecurityWeek、Security Affairs等）が報じている。 ↩

3. Crowdfenseの公開価格表（Exploit Acquisition Program）によれば、iOSのゼロクリック フルチェーン脆弱性は最大700万ドル（SMS/MMS経由の場合は最大900万ドル）、Androidは最大500万ドル、WhatsApp・iMessageは300万〜500万ドル、Safari・Chromeはそれぞれ最大350万ドル・300万ドルとされる。 ↩

4. イスラエルのNSO Groupが開発した監視ソフトウェア「Pegasus」は、複数の政府機関に販売され、ジャーナリストや人権活動家の端末監視に使われたとする調査報道が複数の国際メディアで報じられている。 ↩

5. Zerodiumは2015年の設立以降、iPhone・Androidのフルチェーン脆弱性に対する公開価格表を提示し、業界の相場観の形成に影響を与えたとされる。2025年1月にウェブサイトの主要コンテンツを閉鎖し、PGP公開鍵のみを掲載する1ページに置き換えたことが複数の業界情報筋（Intelligence Online等）で報じられている。 ↩

6. TechCrunch「Price of zero-day exploits rises as companies harden products against hackers」（2024年4月）による、防御技術の向上とエクスプロイト価格上昇の関係についての分析。 ↩ ↩²

7. ワッセナーアレンジメントは通常兵器および関連汎用品・技術の輸出管理に関する国際的な枠組みで、「侵入ソフトウェア」関連技術が規制品目に含まれる。日本は参加国として外国為替及び外国貿易法（外為法）に基づき該当する貨物の輸出や技術提供について許可制を運用している。 ↩