‘해커원’과 글로벌 프로그램 운영
자사 취약점 발견 땐 포상금 지급
보안 검증 상시·사전 예방 구현

인공지능(AI)을 활용한 사이버 공격이 고도화하면서 기업·기관이 외부 화이트해커에게 서비스를 개방해 보안 취약점을 먼저 찾아내는 검증 체계가 확산하고 있다. 정부가 올해 보안 취약점 상시 신고조치제를 시범 도입한 데 이어 LG유플러스는 국내 통신사 최초로 글로벌 버그바운티(보안 취약점 신고 포상제) 플랫폼과 손잡고 전 세계 화이트해커를 보안 검증에 활용하기로 했다.

LG유플러스. 연합뉴스

LG유플러스는 24일부터 화이트해커 240만여명이 참여하는 세계 최대 버그바운티 플랫폼 ‘해커원’과 글로벌 프로그램을 운영한다. 모바일·인터넷·기업서비스 등 모든 서비스를 대상으로 외부 화이트해커가 취약점을 발견해 신고하면 이를 검증·개선하고, 포상금을 지급하는 방식이다.

이번 프로그램에는 신원 확인과 역량 검증 절차를 통과한 화이트해커만 비공개 방식으로 참여한다. 회사는 해외에서 들어오는 취약점 제보를 상시 접수해 취약점을 분석·조치할 계획이다.

LG유플러스는 2024년부터 국내 화이트해커를 대상으로 버그바운티 제도를 운용해왔다. 보안 검증 인력 범위를 세계로 넓힌 것은 사이버 위협 경계가 사라지고 있어서다. 통신사 사업 영역도 로밍과 클라우드, AI 서비스 등 해외 인프라와 연결되는 영역이 늘고 있다. 해커가 접근해 공격할 수 있는 취약성·경로를 뜻하는 ‘공격 표면’이 넓어진 만큼 내부 보안조직이나 국내 인력만으로 위험을 찾아내는 데 한계가 있다는 판단이다. 홍관희 LG유플러스 정보보안센터장(CISO·CPO)은 “통신 서비스가 해외 인프라와 맞닿는 영역이 늘어나는 만큼 우리가 미처 발견하지 못한 취약점까지 선제적으로 찾아내 조치하는 것이 목표”라고 말했다.

해외 통신사들은 이미 글로벌 화이트해커를 상시 보안 인력처럼 활용하고 있다. 미국 AT&T는 2019년 해커원 기반 버그바운티를 도입한 뒤 검증 대상을 웹사이트에서 외부 공개 API와 모바일 애플리케이션(앱), 셋톱박스 등으로 넓혔다. T모바일은 플랫폼 버그크라우드와 협력한 후 2024년 우수 화이트해커가 특정 시스템과 하드웨어를 집중 공격하는 ‘버그 배시’를 실시하기도 했다. 내부 점검과 외부 검증을 연계해 보안 사각지대를 막는 전략이다.

우리 정부도 보안정책의 무게중심을 사후 대응에서 상시·사전 예방으로 옮기고 있다. 국가AI전략위원회는 보안 취약점 신고·조치·공개 제도(CVD·VDP) 도입 로드맵을 마련했고, 과학기술정보통신부 등은 올해 처음 기업·기관을 대상으로 시범사업을 진행했다. 화이트해커가 정해진 범위 안에서 취약점을 찾아 신고하면 기관이 이를 수정한 뒤 공개하는 제도다. LG유플러스는 해당 시범사업에 참여하는 민간기업 7곳 중 하나다. 정부는 시범운영을 거쳐 제도를 단계적으로 확대할 계획이다.

이정한 기자 [e-mail]