화이트 해커 보상에 구글은 230억 썼다...지갑 닫은 한국 기업, 왜?
취약점 신고 제도에 인색한 韓...취약점 발견 시 비난 여론 커
이인애
기자
2026-04-06 15:23:15
취약점 신고 포상제도(버그바운티) 이미지
글로벌 빅테크 기업들이 해커에게 수백억 원을 지급하며 보안 경쟁력을 끌어올리는 사이, 한국 기업들은 여전히 보안 투자를 '비용'으로 바라보는 데 머물러 있다는 지적이 나온다. 정부가 제도 정비에 나서고 있지만, 시장을 실제로 움직여야 할 민간의 참여는 제한적인 상황이다.
6일 업계에 따르면 구글은 2025년 한 해 동안 취약점을 사전에 찾아낸 화이트해커에게 약 230억 원을 지급했다. 애플과 마이크로소프트 역시 수십억에서 수백억 원 규모의 예산을 투입해 버그바운티 프로그램을 운영하고 있다.
실제로 테슬라는 2016년, 주행 중인 차량의 브레이크를 원격으로 제어할 수 있는 치명적인 취약점을 제보한 화이트해커에게 4만 달러(약 6000만 원)을 지급했다. 이후 즉각 무선(OTA) 패치를 단행해 자칫 약 240억 원에 달할 뻔한 대규모 리콜 사태를 6000만 원의 상금으로 방어한 것이다.
이들 기업은 보안을 사고 이후 대응이 아닌 사전 투자로 인식하고 있다. 단 한 번의 침해사고가 가져올 재무적 손실과 신뢰 훼손 비용이 훨씬 크다는 판단을 전제로 한다.
반면 국내는 구조 자체가 다르다. 버그바운티와 취약점 점검 상당 부분이 한국인터넷진흥원(KISA)를 중심으로 한 공공 프로그램에 의존하고 있다. 실제 최근 5년간 기업 취약점 신고 포상금은 약 16억 원에 불과했으며, 90%는 KISA를 통해 지급된 것으로 나타났다.
기업이 직접 비용을 투자하기보다는 정부 예산이 이를 보완하는 형태다. 일부 기업이 자체 프로그램을 운영하고 있지만 네이버, 카카오, 삼성SDS, KT, 두나무, 지니언스 등 소수에 그치며, 보상 규모 역시 수천만 원에 불과하다.
관련 제도는 뒤늦게 변화 조짐을 보이고 있다. 국가인공지능전략위원회는 화이트해커가 법적 부담 없이 취약점을 탐색하고 신고할 수 있도록 하는 '취약점 신고·조치·공개제도' 도입을 추진 중이다.
현행 정보통신망법상 무단 접근이 원칙적으로 금지돼 선의의 보안 점검 활동조차 불법 소지가 있었던 만큼, 이를 개선해 이른바 '한국형 세이프 하버'를 마련하겠다는 취지다. 정부는 미국과 유럽연합(EU) 사례를 참고해 연내 시범사업을 거쳐 제도화를 추진할 계획이다.
다만 업계에서는 단순히 제도만으로는 한계가 있다는 지적도 나온다. 미국의 경우 취약점이 발견되면 공격 전에 문제를 찾아낸 것을 긍정적으로 평가하는 문화가 자리 잡고 있는 반면, 국내에서는 취약점 공개 자체가 기업에 대한 비난으로 이어지는 경우가 많기 때문이다.
이로 인해 기업들은 보상금 지급 부담 뿐 아니라 평판 리스크까지 함께 고려해야 하고, 결과적으로 버그바운티를 적극 도입하기 어려운 환경이 형성돼 있다는 분석이다.
문제는 위협 환경이 빠르게 바뀌고 있다는 점이다. 인공지능(AI)을 활용한 공격과 공급망 해킹이 확산되면서 정기 점검이나 인증 중심의 보안 체계만으로는 대응이 어렵다는 지적이 커지고 있다. 단기간에 대규모 피해로 이어지는 사례가 늘면서 상시적으로 취약점을 점검하는 구조의 필요성도 함께 커지는 상황이다.
결국 글로벌 기업들은 이미 해커를 활용해 취약점을 사전에 제거하는 '시장형 보안'으로 이동한 반면, 한국은 여전히 정부 중심 지원과 제한적인 민간 참여에 머물러 있다. 다만 제도 개선이 시작된 만큼 법과 문화, 인식이 함께 변화하지 않는다면 격차는 더욱 벌어질 수밖에 없다는 전망이 나온다.
김승주 고려대 정보보호대학원 교수는 "미국과 100% 똑같이 할 것인지는 여러가지 법제도를 검토해봐야 한다"며 "문화가 다른 상태에서 미국식의 취약점 신고 포상제도를 도입했을 때 기업이 매도당하는 일을 과연 어떻게 막을 것인지가 과제"라고 말했다.
이인애 머니투데이방송 MTN 기자
댓글
0