버그 바운티 플랫폼 해커원의 전직 내부 직원이 추가 현상금을 받기 위해 동료 화이트 해커들이 제출한 보안 보고서를 도용한 사실이 밝혀졌다.
• 해커원: 보안 취약점 발견에 대해 포상금을 지급하는 기업과 해커를 연결 시켜주는 버그바운티 플랫폼
해커원에 따르면, 해당 직원은 화이트 해커들이 제출한 보안 보고서에 불법적인 방법으로 접근해 추가 현상금을 청구했다.
관련 조사에 따르면, 이 사실은 지난 6월 22일 한 고객이 해커원 플랫폼 외부에서 일어난 취약점 공개에 대해 해커원 측에 수사를 의뢰하면서 알려졌다.
해커원 보안팀은 조사를 통해 “전 직원은 개인의 욕심을 위해 보안 보고서에 부적절하게 접근했다. 그는 현상금 청구를 목표로 해커원 플랫폼 외부에 이 취약점 정보를 익명으로 공개했다"라고 설명했다.
전 직원은 2022년 4월 4일에서 6월 23일 사이에 해커원 내부 시스템에 접근했다. 이후 도용 사실이 적발되자 해커원은 6월 30일 그 직원을 해고했다.
해커원은 내부 접근 로그 기록을 분석해 불법 해킹을 시도한 직원을 식별할 수 있었다.
한편, 해커원은 전 직원이 접근한 버그 보고서에 대해 고객에게 알렸다. 또한 사고 대응을 개선하기 위한 추가 로깅 프로세스를 구현했다. 구체적으로는 데이터 격리 구현, 추가 레드 팀 활동 계획, 비정상적 접근 식별, 내부자 위협 사전 탐지 프로세스 개선 등 일련의 추가 개선 사항 등이다.
*이 기사는 글로벌 정보보안 블로그 ‘시큐리티 어페어즈(Secutiry Affairs)’의 설립자이자 유럽네트워크정보보안기구(ENISA) 소속 보안 전문가 피에루이지 파가니니(Pierluigi Paganini)와의 공식 파트너십을 통해 작성됐습니다.
