脆弱性を販売するオークションサイト--適正対価で目指すセキュリティ改善 - (page 2)

　買い手はニックネームを使って匿名で取引できるが、WSLabi側には身元が分かる仕組みになっている。同サイトで公開するエクスプロイトコードはすべてWSLabiに内容を明らかにする必要があり、WSLabiが本物かどうかを検証した上で購入希望者に「概念実証コード」を提供する。同社にはエンジニアを含めて10人のスタッフがおり、契約社員の補充も可能となっている。

　同サイトは、登録と6カ月までの利用が無料となっている。無料期間終了後は買い手と売り手にそれぞれ10％の手数料がかかるが、売り上げの大半は構築した脆弱性の知識ベースを使ったサードパーティーへのサービス提供が占めることになる。売上は脆弱性の発見者と分配するが、Zampariolo氏は、一部の企業がセキュリティ研究部門を設置する代わりにこれらのサービスを利用するようになることを期待している。

　Zampariolo氏によると、既存のセキュリティ企業各社はWabiSabiLabiの真価について意見が2つに分かれているが、数社は敗北の運命にあるという。同氏は、「セキュリティへの対処方法を完全に見直そうとしている。われわれの構想が成功すれば、各社が痛手を被ることになる」とし、そのような可能性の高いベンダーがiDefenseやISSだとした。

　これに反論するのが、Trend Microの教育ディレクターDavid Perry氏などだ。同氏は複数のメディアでWabiSabiLabiに触れ、「脆弱性を売るeBay」だと評した。そして、「このようなことをして、どのように善悪を見分けるのか？」と疑問視している。

　WSLabiは、個人投資家から約500万ユーロを調達しており、（ロンドンの代替投資市場もしくはオスロにある同様の市場での）約18カ月以内の株式公開を目指している。