이찬진 금융감독원장이 4월 7일 오후 서울 영등포구 여의도 금융감독원에서 열린 '금융보안 페러다임 전환 간담회'에서 참석자들과 박수를 치고 있다. 앞줄 왼쪽 두번째부터 이 원장, 이정문 더불어민주당 의원, 조용병 은행연합회장. 2026.4.7
금융감독원 과 금융보안원 이 금융권 보안 취약점을 외부 전문가 시각에서 선제적으로 발굴하기 위해 신고포상제인 ‘버그바운티(Bug Bounty)’를 확대 시행한다. 금융당국은 최근 금융권을 겨냥한 사이버 공격이 고도화되는 상황에서 민간 화이트해커의 참여를 통해 보안 대응 역량을 강화하겠다는 방침이다.
올해 버그바운티 대상 금융회사는 지난해 32개 사에서 70개 사로 두 배 이상 확대된다. 기존 은행과 증권사, 보험사 등 전통 금융회사 중심에서 벗어나 가상자산사업자와 법인보험대리점(GA)까지 참여 범위를 넓힌 것이 특징이다.
금융당국은 18일 이 같은 내용을 담은 올해 버그바운티 운영 계획을 발표했다. 금융당국은 디지털 금융 서비스 확대와 함께 해킹·정보 유출 위험이 커지고 있는 만큼 사전 예방형 보안 체계 구축이 중요하다고 설명했다.
버그바운티는 화이트해커와 외부 보안 전문가들이 금융회사가 운영하는 웹사이트, 모바일 애플리케이션, 홈트레이딩시스템(HTS) 등에서 신규 보안 취약점을 찾아 신고하면 평가를 거쳐 포상금을 지급하는 제도다.
참가자는 실제 해킹 공격 이전에 보안 약점을 발견해 신고함으로써 금융회사가 신속하게 취약점을 보완할 수 있도록 돕는 역할을 하게 된다. 글로벌 빅테크 기업들도 이미 활발히 운영 중인 대표적 보안 강화 프로그램 중 하나다.
올해 버그바운티는 오는 8월 31일까지 신청을 받는다. 대한민국 국민이라면 누구나 참여할 수 있으며, 금융권 SW공급망 보안플랫폼 을 통해 신청 가능하다.
실제 취약점 접수는 6월 1일부터 3개월 동안 진행된다. 참가자들은 총 70개 금융회사, 306개 디지털 금융 서비스를 대상으로 보안 취약점을 탐지해 신고할 수 있다.
금융당국은 접수된 취약점에 대해 위험성과 영향도 등을 평가한 뒤 건당 최대 1000만 원의 포상금을 지급할 계획이다. 특히 금융 소비자 정보 유출이나 인증 우회, 결제 취약점 등 위험도가 높은 사례에는 높은 수준의 포상금이 책정될 가능성이 있다.
금감원은 이번 제도를 통해 금융권 전체의 사이버 보안 수준을 끌어올리는 효과를 기대하고 있다. 최근 금융권에서는 피싱과 랜섬웨어, 공급망 공격 등 다양한 형태의 사이버 위협이 빠르게 증가하고 있기 때문이다.
이종오 부원장보는 “화이트해커들의 집단지성을 활용해 고도화되는 사이버 위협에 선제적으로 대응할 수 있을 것으로 기대한다”며 “금융권 전반의 보안 대응 역량을 실질적으로 강화하는 계기가 되길 바란다”고 말했다.
금융당국은 최근 금융회사 보안 사고를 단순 사후 대응이 아닌 사전 예방 중심 체계로 전환해야 한다는 입장을 지속 강조하고 있다.
앞서 이찬진 원장 역시 금융권 보안 사고를 막기 위해 기존 보안 패러다임 자체를 근본적으로 바꿔야 한다고 언급한 바 있다.
이에 따라 금감원은 △금융권 보안 인식 전환 △선제적 위험관리 체계 구축 △사전 예방형 감독 강화 등을 핵심 방향으로 추진 중이다. 단순 규제 점검을 넘어 금융회사 스스로 취약점을 조기에 발견하고 개선할 수 있는 환경을 만드는 데 초점을 맞추고 있다는 설명이다.
업계에서는 이번 버그바운티 확대가 금융권 디지털 전환 속도에 맞춘 보안 강화 조치라는 평가가 나온다. 특히 가상자산사업자와 플랫폼 기반 금융서비스가 늘어나면서 기존 금융회사 외 영역에서도 보안 취약점 관리 중요성이 커지고 있다는 분석이다.
이코노미퀸 김정현 기자 사진 뉴스1
댓글
0