토스, 보안 취약점 찾아낸 외부 전문가에 3000만원…자체 버그바운티 개최

"외부 시선 통해 보안 고도화, 해외선 애플·구글 등 상시 보상제도 운영 중"

(사진제공=토스)

토스는 보안 취약점 신고포상제인 ‘토스 버그바운티 챌린지(Toss Bugbounty Challenge)’를 처음으로 실시한다고 21일 밝혔다.

버그바운티는 서비스 내 보안 취약점을 찾아낸 참가자에게 리워드를 지급하는 제도다. 국내 IT기업은 물론 금융사 중에서도 자체 버그바운티를 운영하는 경우는 드물다.

구글과 애플 등 글로벌 IT기업들은 관련 활동을 적극적으로 전개 중이다. 자사의 보안 체계 강화는 물론 보안 연구 커뮤니티 전체에 기여하는 기회로 삼고 있다. 국내 금융권에서는 금융보안원이 2019년부터 버그바운티 행사를 주최하고 있다.

이번 프로그램에는 토스를 비롯해 토스뱅크, 토스증권, 토스페이먼츠 등 주요 금융 계열사가 참여한다.

취약점 신고 대상은 토스 애플리케이션 내 주요 서비스는 물론, 계열사 공식 홈페이지도 포함되며 자세한 내용은 관련 홈페이지를 통해 확인할 수 있다. 접수된 리포트는 토스 내부 검증과 평가를 거쳐 건당 최대 3000만 원까지 포상금을 지급 받는다.

이번 버그바운티는 보안에 관심 있는 국내 토스 가입자면 누구나 참여할 수 있다. 단, 30일 오후 6시까지 공식 홈페이지를 통해 사전 신청한 사람에 한해 다음 달 개최되는 프로그램에 참여 자격이 주어진다. 신청자에게는 버그바운티에 참여할 수 있는 별도 환경을 제공하며 해당 환경에서 모의해킹이 진행된다.

토스는 2018년부터 금융권 최초로 KISA(한국인터넷진흥원) ‘정보보호공시’에 자율적으로 참여하며, 보안투자 현황을 공개하고 있다.

토스는 세계 최고 수준의 화이트해커인 이종호 리더를 시작으로 9명 전원이 화이트해커로 구성된 ‘보안기술팀'을 꾸릴 정도로 보안 인프라에 투자하고 있다. 이 팀은 블랙해커가 침입하기 전 공격자적 관점에서 보안 취약점을 찾고 보안을 강화하는 역할을 하는 팀이다.

토스는 사용자의 휴대전화에 피싱 앱이 깔렸을 경우 경고 메시지와 함께 해당 앱을 삭제할 수 있는 ‘악성 앱 탐지 시스템'을 포함한 이상거래 시스템 탐지 등 보안 환경을 구축하는 ‘토스가드'를 운영 중이다. 토스가드는 토스앱 실행 시 자동 실행되며 올해 출시한 ‘악성앱 탐지 시스템’은 약 5개월간 50만 건 이상의 피싱 피해를 막았다.