구글·MS 이어 닌텐도 가세
기업들이 갈수록 고도화되는 해킹 공격에 무방비로 노출되는 사례가 늘며 '버그바운티(bug bounty)'를 적극 활용하고 있는 것으로 나타났다.
16일 버그바운티 플랫폼 해커원에 따르면 닌텐도는 지난달 출시한 신형 콘솔 게임기 스위치 또는 닌텐도3DS를 해킹하면 최대 2만달러(2200만원)를 주겠다고 공지했다. 닌텐도가 버그바운티에 나선 이유는 스위치가 출시한 지 9일 만에 한 해커가 스위치를 해킹했다고 주장하며 트위터에 해당 증거 사진을 올린 사건 때문으로 보인다. 지난 2011년 출시된 닌텐도의 대표 제품인 3DS 또한 꾸준한 해킹을 통해 수난을 겪었다.
닌텐도는 공지를 통해 대중에게 이미 알려진 보안 취약점은 상금에서 제외되고 심각하고 악용이 쉬운 취약점일수록 상금이 커진다고 밝혔다. 또, 발견한 취약점을 제 3자에게 제공해서는 안되며 보고한 취약점을 확인 후 4개월 이내에 상금이 지급되고 액수는 대중에게 공개되지 않는다고 닌텐도는 강조했다.
이처럼 버그바운티란 기업이 공식적으로 공지한 자사 서비스 및 제품을 해킹해 취약점을 찾은 해커에게 상금을 주는 이벤트다. 해커원에는 닌텐도뿐 아니라 우버, 트위터, 미국 국방부, 야후 등 큰 해킹 피해를 입었던 기업 및 기관들이 버그바운티를 공지하고 있다. 구글, 애플, 마이크로소프트(MS), 페이스북, 인텔, 어도비 등 세계적 기업들도 주기적으로 막대한 상금의 버그바운티를 공지해 자사의 서비스와 플랫폼의 보안성을 고도화한다. 특히 구글과 MS는 최근 버그바운티 상금 최대 금액을 배로 늘렸다.
국내에선 삼성전자, 네이버 등 소수 기업을 제외하고는 단독으로 버그바운티를 운영하는 기업을 찾아보기 힘들다. 한국인터넷진흥원(KISA)과 한컴, 카카오, 네오위즈게임즈 등이 공동 참여하는 SW취약점신고제도가 있지만, 상금 규모가 30~500만원 수준으로 해외와 비교해 크지 않은 상황이다. 보안업계에선 국내 기업들이 버그바운티 도입에 적극 나서지 않는 이유로 취약점을 밝히기 꺼리는 문화와 보안에 대한 불감증을 꼽는다. 보안업계 관계자는 "해킹 공격이 워낙 고도화되다 보니 어떤 서비스나 플랫폼에서든 취약점이 발견될 수 있다"며 "기업과 소비자들도 얼마나 많은 취약점이 발견되는 지에 관심을 갖기 보다는 얼마나 빠른 속도로 보안 패치를 적용할 지에 초점을 맞춰야 한다"고 말했다.
이경탁기자 kt87@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
