"韓 최고 보안사이트가 26분 만에"…치열했던 '핵 더 키사' 대회

한국인터넷진흥원이 19일 KISA 서울청사에서 개최한 ‘핵 더 키사(Hack the KISA)’ 대회 포상 시상식에서 김석환 원장이 축사를 하고 있다./사진제공=KISA

"한번 뚫어보세요. 포상금 드립니다." 지난달 15일 화이트 해커들의 관심을 끈 국내 버그바운티 대회(Bug Bounty·포상금을 걸고 보안 취약점을 찾는 행사)가 열렸다. 한국인터넷진흥원(KISA)가 주최한 ‘핵 더 키사( Hack the KISA)’ 그 주인공이다. 현재 운영되고 있는 실제 홈페이지를 대상으로 취약점을 찾도록 했다. 미국 국방부 주관으로 5개 홈페이지를 대상으로 진행된 핵더펜타곤(Hack the Pentagon)을 참고해 국내 공공 기관 중 최초로 시도됐다.

반응은 뜨거웠다. 지난달 28일까지 진행된 대회 기간 중 총 485명의 민간 보안 전문가들이 참여했다. KISA는 국내 최고 보안 전문가들이 근무하는 곳이다. 때문에 이 곳 시스템을 뚫기란 바늘구멍 통과하기나 다름없다. 그럼에도 59명이 총 163건의 취약점을 찾아냈다. KISA는 이 중 유효한 보안 취약점 60건을 선정해 28명에게 총 2555만원을 포상했다. 최초 신고 접수는 대회 시작 26분 만에 나왔다.


버그바운티는 기업의 SW(소프트웨어)나 IoT(사물인터넷) 기기 등의 취약점을 찾는 해커에게 포상금을 주는 제도다. 해외에서는 구글과 애플, 마이크로소프트(MS), 페이스북 등이 시행하고 있다. 국내에서는 KISA와 한글과컴퓨터, 네이버, 카카오, LG전자 등 15개 기업이 손잡고 2012년부터 제도를 운영해왔다.

KISA는 신고포상제 운영으로 올해 1108건의 신규 보안 취약점을 신고받았고 이 중 581건에 대해 총 3억1200만원을 포상했다. 올해 신고 건수는 지난해보다 36.7% 늘었고 포상 건수도 41.3% 증가했다. 올해 IoT 취약점 신고 건수는 지난해(347건)대비 11.5% 증가한 387건을 기록했다. IoT 기기 취약점 신고 건수는 △2013년 4건 △2014년 6건 △2015년 130건 △2016년 362건 △2017년 347건 △2018년 387건 등으로 꾸준히 늘고 있다.

KISA '핵 더 키사'에서 확인됐듯 아무리 철저히 검증한 시스템이라도 완벽한 보안은 없다. 때문에 외부 화이트 해커들을 활용하면 보다 검증된 시스템 보안을 갖출 수 있다.


김석환 KISA 원장은 "개방형 보안취약점 찾기 대회는 일상적인 보안 활동에서 발견되지 않는 취약점을 찾을 수 있도록 보완하는데 큰 도움이 된다"며 "사이버 침해사고 예방을 위해 민간 기업들이 스스로 보안 취약점을 조치하고 관리할 수 있는 모범 사례로 ‘핵더키사’ 성과를 적극 알릴 계획”이라고 말했다.