El panorama general

Los pagos de este año superan los 17 millones de dólares entregados a 344 investigadores en el período anterior. En años previos (2020 a 2023), Microsoft pagaba alrededor de 13 millones anuales. La empresa opera 15 programas de recompensas por vulnerabilidades.

El dato clave

Del total de 20 millones, dos partidas explican el incremento:

  • 2,3 millones de dólares se entregaron a participantes del evento de hacking Zero Day Quest.
  • 800.000 dólares corresponden a nuevas iniciativas que recompensan fallos en componentes de terceros y código abierto, introducidas en diciembre de 2025.

El pago máximo por una vulnerabilidad varía según el programa: hasta 100.000 dólares por fallos en la nube o en Zero Day Quest, y hasta 250.000 dólares por fallos en Endpoint and On-Premises.

Lo que dicen

Microsoft calificó la seguridad como un "deporte en equipo" y destacó el rol de la comunidad de investigadores para "abordar riesgos antes de que puedan ser explotados contra los clientes". La empresa atribuyó el aumento de reportes al "fuerte compromiso de la comunidad" y al "uso creciente de IA para apoyar la investigación de seguridad".

Lo que no se dice

No todos los investigadores están satisfechos. Un investigador conocido como Chaotic Eclipse publicó detalles de varios fallos de día cero sin dar tiempo a Microsoft para corregirlos, alegando que la empresa malmanejó sus reportes, ignoró comunicaciones y retuvo pagos. Algunas de esas vulnerabilidades fueron explotadas antes de recibir parche.

Qué sigue

Microsoft también utiliza IA para encontrar y corregir vulnerabilidades internamente, lo que ha llevado a un aumento récord de parches en sus Patch Tuesday. Julio de 2026 registró 622 vulnerabilidades corregidas, triplicando el récord anterior. Sin embargo, la misma tecnología puede ser usada por atacantes para explotar fallos con mayor rapidez.