은행·보험·증권사 보안취약점 찾아라…포상금 최대 1000만원

버그바운티 집중신고 기간 6월부터 석달간 운영
금융감독원이 금융보안원과 함께 금융권역 버그바운티 집중신고 기간을 운영한다. 6월부터 8월까지 3개월이다. 공표되지 않거나 조치방안이 발표되지 않은 보안취약점을 이용한 해킹 방법에 대해 선제적으로 대응하기 위해서다.

버그바운티는 소프트웨어나 웹 사이트를 대상으로 보안취약점을 발견·신고하면 이를 평가하여 포상금을 지급하는 제도다. 기존 모의해킹과 달리 누구나 참가할 수 있고 인원이 한정되어 있지 않다. 화이트해커 등 외부 공격자 시선에서 '알려지지 않은 취약점'을 사전에 발굴하는 적극적 보안대응의 개념이다.

금감원은 이런 내용을 담은 신고 포상제를 실시한다고 28일 밝혔다. 취약점 탐지 대상으로 은행·증권·보험 등 총 21개 금융회사가 참가했다. 취약점을 찾는 공격자는 화이트해커·학생·그 외 일반인 등 대한민국 국민 누구나 참가 신청하고 승인 후에 참여할 수 있다.

신고된 취약점은 전문위원들의 평가를 거쳐 최대 1000만원의 포상금이 지급된다.

위험도가 높고 파급력이 큰 취약점의 경우 전 금융회사에 신속하게 전파해 보완할 계획이다. 소프트웨어에 존재하는 보안취약점을 가리키는 국제 식별번호(CVE) 등재도 추진한다.

금감원은 버그바운티 운영으로 금융회사가 자체 내부 보안점검만으로는 미처 발견하지 못한 취약점까지 색출할 수 있을 것으로 기대하고 있다. 외부 해커(공격자) 관점의 집단지성을 통해 조기에 발견하고 이를 신속히 해결하겠다는 목표다.

이복현 금감원 원장은 "버그바운티는 나날이 고도화 되어가는 사이버 위협에 대비할 수 있는 새로운 형태의 보안역량 강화 프로그램이다"면서 "이번 기회를 통해 금융권의 보안 수준이 한층 더 강화되는 계기가 됐으면 한다"고 말했다.

향후 금감원과 금보원은 향후 안전한 금융환경 조성을 위해 버그바운티를 지속 확대·추진해 나갈 예정이다. 보다 많은 금융회사가 참여토록 유도한다는 입장이다. '취약점 분석평가' 업무 시 인센티브 부여 등 관련 내용도 함께 정비하기로 했다. 김경렬기자 iam10@dt.co.kr