[데일리 Talk] ‘보안 척화비’ 세우는 한국

이 시간 주요기사

뉴스 > 기자수첩

김기찬 기자 기자페이지 + 입력 2024-07-10 00:02:30

8살 때 한강에 빠져 죽을 뻔했던 경험이 아직도 생생하다. 호기심 가득한 나이. 부모님과 함께 한강에 나들이를 나갔는데 한강 근처에서 낚싯대를 걸어 놓고 앉아 있는 사람들을 가까이에서 구경하고 싶어 울타리를 넘어가려다 한강에 빠졌던 것으로 기억한다. 당시 인라인스케이트를 신고 있어 몸이 계속해서 가라앉았고 수영도 배운 적이 없어 물을 무서워하는 트라우마가 남기도 했다.

어린 나를 구해 준 사람은 중국인이었다. 당시 부모님은 온 몸이 흠뻑 젖은 나를 데리고 다시 그곳으로 갔다. 여전히 낚시하는 사람들이 있었고, 그 중 유독 한 사람의 바지가 흠뻑 젖어 있는 게 어머니 눈에 띄었다. 그 사람은 나를 보더니 아는 체를 했고 어머니는 그 사람이 나를 구해 줬다는 것을 직감했다. 그가 한사코 사례를 거절하는 바람에 어머니는 맥주와 안주를 사서 그 일행에 전달해 주고 나서야 돌아섰다.

그가 보상을 바라고 나를 구하진 않았을 것이다. 어린 아이가 갑작스레 물에 빠졌으니 몸이 먼저 반응하지 않았을까. 어머니도 외국인이라고 해서 고마운 마음이 덜하진 않았을 것이다. 죽을 뻔한 아이를 구해 줬으니 할 수 있는 최대한의 감사 표시를 하고 싶었을 것이다.

최근 이 경우와 정반대의 상황이 벌어졌다. 국민 메신저인 카카오톡에서 계정 탈취·도용이 가능한 보안 취약점을 독일인 보안연구원이 발견해 카카오톡 측에 제보했는데 아무런 보상을 받지 못한 것이다.

독일인 보안연구원은 지난해 12월 기준 카카오톡 패치 버전인 10.4.3에서 계정 탈취부터 메시지 엿보기까지 가능한 보안 취약점을 발견해 카카오톡 ‘버그바운티’를 통해 제보했다.

버그바운티는 공격자의 입장에서 기업의 서비스나 제품 등을 해킹해 취약점을 발견해 보고한 화이트해커에게 포상금 등을 지급하는 제도다. 카카오톡의 경우 위험도와 발굴 난이도 등을 검토해 최소 5만 원에서 최대 1000만 원의 포상금을 제보자에게 지급한다. 다만 카카오 버그바운티 규정상 국내외에 거주하는 한국인만 보상을 받을 수 있다.

따라서 독일인 보안연구원은 카카오톡을 사용하는 다수의 공익을 위해 제보를 했지만 아무런 보상을 받지 못하게 됐다. 이 보안연구원이 만약 흑심을 품고 일종의 보상을 바라는 목적을 갖고 있었다면 다크웹 등 어둠의 경로를 통해 해당 보안 취약점을 판매했을 수도 있다.

보안 공공기관인 한국인터넷진흥원(KISA)도 2012년부터 버그바운티 제도를 자체적으로 운영하고 있다. 카카오뿐 아니라 국내 유수 정보기술(IT) 기업들도 버그바운티 제도를 도입하고 있다. 하지만 대부분 보상 대상이 한국 국적자로 한정돼 있다.

반면 글로벌 정보통신기술(ICT) 기업 인텔의 경우 지난해 버그바운티를 통해 353개의 보안 취약점을 해결했다고 한다. 구글도 국내·해외를 가리지 않고 보안 취약점을 찾은 연구자들에게 버그바운티 프로그램을 통해 최근 10년간 총 4000만 달러에 달하는 금액을 지출하기도 했다.

대외적으로 버그바운티 제도는 외부 관점에서 보안 취약점을 진단할 수 있고, 이를 통해 기업의 보안 수준을 한층 강화할 수 있다는 평가가 대부분이다.

우리나라의 폐쇄적인 보상 조치는 공익 제보의 위축으로 이어진다. 최소한의 감사 표시도 하질 않는데 전 세계 어느 누가 공익 제보를 하겠는가. 글로벌기업들이 앞장서 보안 취약점에 대해 서로 공유하고 시정하는 동안 폐쇄적인 버그바운티 운영책 때문에 도태되는 것은 우리 기업이다. 향후엔 물에 빠지더라도 손을 내밀어 줄 외국인이 없을 수도 있다.

김기찬 기자 gckim@skyedaily.com 기자페이지 +