금융권 사전예방적 대응 강화 ‘신고포상제’ 실시
금융감독원과 금융보안원은 금융회사가 운영하는 디지털 금융서비스의 보안취약점을 외부 시각에서 선제적으로 발굴해 신속히 보완하기 위해 ‘2026년 금융권 보안취약점 신고포상제’(이하 버그바운티)를 공동으로 실시한다고 18일 밝혔다.
버그바운티(Bug Bounty)는 화이트해커 등의 외부 참가자가 금융회사가 운영하는 웹사이트, 모바일 앱(App), 홈트레이딩시스템(HTS) 등의 디지털 금융서비스에서 새로운 보안취약점을 발견해 신고하면 평가를 거쳐 포상금을 지급하는 제도다.
최근 금융권의 인공지능(AI) 활용, 클라우드 전환, 오픈소스 기반 소프트웨어(SW) 개발 확산 등으로 보안 점검의 필요 영역이 확대됨에 따라 마련됐다. 이번 제도는 알려지지 않은 취약점을 능동적으로 발굴하고 시정해 금융회사들이 사이버위협에 선제적으로 대비하는 기회가 될 것으로 보인다.
올해는 은행, 금융투자, 보험 등 기존 전통 금융회사뿐만 아니라 가상자산사업자, 법인보험대리점(GA) 등으로 참여 범위가 넓어졌다. 금융권의 참여가 늘어남에 따라 취약점 탐지 대상은 전년 32개사에서 올해 70개사로 119% 확대됐으며, 총 306개 서비스에 대해 실시할 계획이다.
대한민국 국민은 누구나 버그바운티에 참여할 수 있으며, 오는 8월 31일까지 금융보안원 ‘금융권 SW 공급망 보안 플랫폼’에 신청하면 된다. 참가 신청은 지난 1일부터 시작됐으며, 신청을 완료한 경우에만 신고대상 상세 정보 확인과 취약점 발굴 및 신고를 할 수 있다.
참가자의 경우 발견한 신규 취약점을 접수하면, 이를 평가해 취약점 등급에 따라 건당 최대 1000만원의 포상금을 지급한다. 신고 편중을 방지하기 위해 참여 회사를 월별로 구분해 1개월씩 순차적으로 운영하므로 월별 신고 대상은 다르다. 결과 평가와 포상은 9월부터 11월 사이에 진행된다.
우수 취약점 신고자에게는 감사장 수여와 함께 금융보안원 입사 지원 시 우대 혜택을 부여하며, 평가 점수에 따라 금융보안원 명예의 전당 등재 등 추가 인센티브를 제공한다. 입사 지원 우대 혜택은 감사장 부여일로부터 2년 이내, 정보보호 분야에 한정해 적용된다.
이종오 금융감독원 디지털·IT 부원장보는 “이번 버그바운티는 금융회사 스스로 잠재 보안취약점을 발굴하고 개선하는 자율 시정의 기회”라며 “화이트해커의 집단지성을 통해 고도화되는 사이버위협에 선제적으로 대응함으로써 금융권 전반의 보안 대응 역량을 실질적으로 강화하는 계기가 되길 기대한다”고 말했다.
