Microsoft betalade ut cirka 20 miljoner dollar, ungefär 191 miljoner kronor, till säkerhetsforskare mellan 1 juli 2025 och 30 juni 2026. Det är den största summan sedan Microsoft Bounty-programmen startade 2018. Pengarna gick till 562 forskare i 64 länder och den enskilt största belöningen låg på 200 000 dollar, alltså runt 1,9 miljoner kronor för en enda sårbarhetsrapport, enligt Security Week.
För dig som driver företag är den intressanta signalen inte summan i sig, utan varför den stiger. Microsoft betalar mer därför att sårbarheterna blir fler, sitter i fler lager av mjukvarustacken och är värda mer på den kriminella marknaden.
Kurvan har brutit uppåt tre år i rad
Utbetalningarna låg stabilt runt 13 miljoner dollar om året mellan 2020 och 2023. Sedan hände något. Räkenskapsåret 2024-2025 landade på ungefär 17 miljoner och året därpå på 20 miljoner. Totalt har Microsoft betalat ut 112,5 miljoner dollar sedan starten 2018.
| Period | Utbetalt (dollar) | Kommentar |
|---|---|---|
| 2020-2023 | ca 13 miljoner/år | Stabil nivå |
| 2024-2025 | ca 17 miljoner | Programmen breddas |
| 2025-2026 | ca 20 miljoner | Rekord, 562 forskare från 64 länder |
| Totalt sedan 2018 | 112,5 miljoner | 15 aktiva program |
Under det senaste året kom 2 531 sårbarhetsrapporter in fördelat på 15 olika buggjägarprogram. Genomsnittet per forskare som fick betalt landade på ungefär 35 000 dollar men snittet är missvisande. Fördelningen är extremt skev, eftersom några få rapporter om kritiska sårbarheter i molntjänster eller identitetshantering drar in miljonbelopp, medan majoriteten ger betydligt blygsammare summor.
En del av ökningen förklaras av att Microsoft breddat vad som räknas. Programmen omfattar numera även buggar i mjukvara med öppen källkod och i tredjepartskomponenter som ingår i Microsofts produkter. Bara de nya initiativen genererade över 300 rapporter och 800 000 dollar i utbetalningar. Tävlingen Zero Day Quest, som hölls på Microsofts campus i Redmond med deltagare från 20 länder, drog in nästan 700 rapporter och 2,3 miljoner dollar i belöningar.
Microsoft pekar också på att forskare i högre grad använder AI-verktyg för att hitta sårbarheter. Det är en tveeggad utveckling. Samma verktyg som hjälper en whitehat-forskare att hitta hål snabbare fungerar lika bra för den som vill sälja hålet vidare.
Attackytan har flyttat till komponenter du redan använder utan att veta om det
Öppen källkod och tredjepartskomponenter är inte en Microsoft-fråga. Det är den mjukvara som ligger i botten av i princip varje affärssystem, e-handelsplattform och bokföringstjänst som svenska småföretag använder.
Din faktureringstjänst är byggd på bibliotek som någon annan skrivit. Ditt CRM likaså. När Microsoft utvidgar sitt bounty-program till att täcka den typen av komponenter är det en bekräftelse på att attackytan flyttat nedåt i stacken, till lager som varken du eller din leverantör har full överblick över.
Det praktiska konsekvensen för ett litet bolag är enkel att formulera och jobbig att leva efter: du kan inte utvärdera din leverantörs säkerhet genom att titta på leverantören. Du får förlita dig på att de i sin tur har koll på vad de bygger på. Fråga vad som gäller vid en incident, hur snabbt de patchar och om de har någon form av ansvarsförsäkring. Ställ frågorna innan avtalet skrivs, inte efter.
Svenska buggjägare kan tjäna pengar på det här
Programmen är globala. Det finns inget som hindrar en svensk utvecklare eller säkerhetsintresserad frilansare från att rapportera en sårbarhet och få betalt. Microsoft driver sina program via Microsoft Security Response Center och rapportering sker direkt till dem.
Ett par saker att ha klart för sig innan du börjar. Belöningarna är inte garanterade, utan bedöms utifrån hur allvarlig sårbarheten är och om den är ny. Hittar någon annan samma bugg först får du ingenting. Räkna med att den absoluta majoriteten av tiden går åt utan ersättning.
Skattemässigt är en bounty-utbetalning inte gratispengar. Tar du emot ersättning från Microsoft som privatperson blir det normalt inkomst av tjänst. Fakturerar du via eget bolag blir det en vanlig intäkt som ska bokföras och beskattas som all annan omsättning. En utländsk utbetalare drar ingen svensk preliminärskatt åt dig, så ansvaret att redovisa ligger helt på dig. Har du F-skatt och kör det via bolaget är det enklast att hantera det som en vanlig utlandsintäkt, med de momsregler som gäller för tjänster till näringsidkare utanför EU.
Är du intresserad av att räkna på om sidoinkomster som dessa gör det värt att lyfta lön eller behålla pengar i bolaget kan lönekostnadskalkylatorn ge en fingervisning.
Hittar du en sårbarhet i en svensk tjänst gäller andra regler
Microsofts program är strukturerat och rättsligt tydligt. Så ser det sällan ut i Sverige. Många svenska bolag saknar helt en policy för hur säkerhetsforskare ska rapportera in brister och den som testar sig fram utan tillstånd riskerar i värsta fall att bli polisanmäld för dataintrång.
Rör det sig om en sårbarhet med bredare samhällspåverkan kan du rapportera till CERT-SE, Sveriges nationella funktion för it-incidenter. De hanterar rapporter om sårbarheter och incidenter och kan förmedla kontakt med berörd part.
Driver du själv en tjänst med kunddata är slutsatsen mer direkt: publicera en enkel sida med kontaktuppgift för säkerhetsrapporter och en kort text om att du inte anmäler den som rapporterar i god tro. Det kostar en timme och kan vara skillnaden mellan att få ett mejl av en välvillig utvecklare och att upptäcka läckan när kunderna redan drabbats. Läs också vår genomgång av hur bluffmejl mot företag ökat, eftersom social manipulation fortfarande är den vanligaste vägen in i mindre bolag.
FAQ
Kan jag delta i Microsofts bounty-program som privatperson i Sverige?
Ja. Programmen är öppna globalt och det finns inget krav på företag eller registrering i USA. Du behöver ett Microsoft-konto och följa reglerna för respektive program.
Hur beskattas en bounty-utbetalning?
Som privatperson normalt inkomst av tjänst, som bolag en vanlig rörelseintäkt. Utbetalaren är utländsk och drar ingen svensk skatt, så du redovisar själv i deklarationen eller i bokföringen.
Varför ökar bug bounty-utbetalningarna så snabbt?
Tre saker samverkar. Programmen har breddats till att omfatta öppen källkod och tredjepartskomponenter, molntjänster har fler kritiska sårbarheter än traditionell klientmjukvara och AI-verktyg gör det snabbare för forskare att hitta hål. Samtidigt stiger priset på svarta marknaden, vilket tvingar upp de legitima belöningarna för att programmen ska förbli konkurrenskraftiga.
Bör mitt lilla företag ha ett eget bounty-program?
Nej, inte om du inte utvecklar egen mjukvara som hanterar känslig data. Det som däremot är värt en timmes arbete är en publik kontaktväg för säkerhetsrapporter och ett tydligt löfte om att inte anmäla den som rapporterar i god tro.
Magnus Bergström
Magnus Bergström är nyhetsredaktör på alltomforetagande.se. Ekonomijournalist med journalistexamen från JMG vid Göteborgs universitet. Tolv års erfarenhet av rapportering från svenska SME-bolag, kapitalmarknad och konjunkturläget, bland annat åtta år på en ledande ekonomidagstidning. Bevakar löpande skatteregler, bidragsändringar, politiska beslut och branschtrender som påverkar svenska företag.
