금융권 버그바운티 집중신고기간 운영…최대 1000만원 포상금 지급

금감원, 금융권 버그바운티 실시…“사이버위협 선제적 대응”

금융감독원은 사이버위협 선제적 대응을 위한 금융권 보안취약점 신고포상제(버그바운티) 집중신고 기간을 운영하기로 했다. 신고된 취약점은 전문위원들의 평가를 거쳐 최대 1000만원의 포상금이 지급된다.

사이버 위협이 지능화·고도화되어 감에 따라 국내 금융회사의 전자금융기반시설을 안전하게 보호할 필요성이 높아지고 있다.

특히 끊이지 않는 다양한 해킹 시도는 금융IT 신기술, 소프트웨어 도입과 함께 '알려진 보안취약점' 외에 '제로데이 어택'(Zeroday-Attack)의 사이버 공격으로까지 이어지고 있다.

이에 금융감독원 및 금융보안원은 이러한 외부위협에 선제적으로 대응하기 위해 금융권역 버그바운티 집중신고(2024년 6월~8월, 3개월)기간을 운영하기로 했다.

버그바운티(Bug Bounty)는 소프트웨어나 웹 사이트를 대상으로 보안취약점을 발견·신고하면 이를 평가해 포상금을 지급하는 제도다.

기존 모의해킹과 달리 누구나 참가할 수 있고 인원이 한정되어 있지 않기 때문에 역량이 있는 다수가 정보시스템을 점검할 수 있는 방식이다. 특히 화이트해커 등 외부 공격자 시선에서 '알려지지 않은 취약점'을 사전에 발굴하는 적극적 보안대응의 개념을 갖고 있다.

금감원은 "버그바운티 운영은 금융회사가 자체 내부 보안점검만으로는 미처 발견하지 못한 취약점을 외부 해커(공격자) 관점의 집단지성을 통해 조기에 발견하고, 이를 신속히 해결할 수 있을 것으로 기대된다"고 밝혔다.
'취약점 탐지 대상'으로 은행·증권·보험 등 총 21개 금융회사가 참가했으며 '취약점을 찾는 공격자'는 화이트해커·학생·그 외 일반인 등 대한민국 국민 누구나 참가 신청 및 승인 후에 참여할 수 있다.

신고된 취약점은 전문위원들의 평가를 거쳐 최대 1000만원의 포상금이 지급될 예정이며 위험도가 높고 파급력이 큰 취약점의 경우 全 금융회사에 신속하게 전파해 보완하고 CVE(Common Vulnerabilities and Exposures, 소프트웨어에 존재하는 보안취약점을 가리키는 국제 식별번호) 등재도 추진할 예정이다.

금감원 이복현 원장은 "버그바운티는 나날이 고도화 되어가는 사이버 위협에 대비할 수 있는 새로운 형태의 보안역량 강화 프로그램이다"라며 "이번 기회를 통해 금융권의 보안 수준이 한층 더 강화되는 계기가 되었으면 한다"라고 강조했다.

금감원과 금보원은 앞으로 안전한 금융환경 조성을 위해 버그바운티를 지속 확대‧추진해 나갈 예정이며 보다 많은 금융회사들이 참여할 수 있도록 '취약점 분석평가' 업무시 인센티브 부여 등 관련 내용도 함께 검토해 나갈 계획이다.

한편 2024년 금융권 버그바운티(집중신고제)에는 화이트해커, 정보보호에 관심이 있는 대학(원)생 등 국내·외에 거주하는 대한민국 국민이면 누구나 참가 가능하다.

참가신청서 및 비밀유지서약서를 작성해 이메일로 제출하면 된다(~ 8월 31일).

신고대상은 금융회사 웹사이트, 모바일앱, HTS(Home Trading System)를 대상으로 발굴한 신규 보안 취약점(제로데이 취약점)이며 금융회사별로 신고대상 세부 정보(접속주소, 소프트웨어명 등)가 상이하므로 참가자에게 별도 안내될 예정이다.

2024년 6월 1일~8월 31일 3개월 간 집중신고 기간이 운영된다. 2024년 9월 1일~11월 30일 3개월 간 신고받은 취약점에 대해 중요도, 파급력 등의 수준을 금융보안 전문가로 구성된 전문위원(9인)이 합동평가할 계획이다.

평가기간 이후 유효 취약점 점수에 따라 차등화해 포상금 지급 등이 될 예정이다.