카톡 보안 허점 찾아줘도 외국인은 보상 없다… “공익 제보 왜 하나”

이 시간 주요기사

뉴스 > IT·인터넷

계정 탈취 가능한 보안 취약점 외국서 발견… 메시지 훔쳐보기도 가능
보안 취약점 신고포상제, 한국인만 해당… “공익 제보자 호구 만든 꼴”
“공익 제보 안 하고 다크웹에 팔면 보안 사고 걷잡을 수 없이 커진다”

김기찬 기자 기자페이지 + 입력 2024-06-29 00:10:09

▲ 카카오톡에서 보안 취약점을 발견한 외국인 보안연구원의 엑스에 게시된 관련 영상. 영상에서 공격자가 보낸 링크를 클릭하면 계정탈취가 가능해 공격자가 비밀번호를 즉시 입력하는 모습이다. 엑스 캡처

국민 메신저인 카카오톡에서 계정을 탈취해 채팅 메시지를 읽어볼 수 있는 보안 취약점이 발견돼 패치가 이뤄졌다. 외국인 보안연구원이 발견한 보안 취약점인데, 이런 취약점을 발견해줬음에도 카카오톡 측으로부터 아무런 보상을 받지 못한 것으로 나타났다.

이에 보안업계 안팎으로는 해외 보안전문가들이 취약점 등을 제보할 이유가 없어져 더욱 많은 취약점에 노출될 우려를 내비치고 있다.

보안업계에 따르면 한 외국인 보안연구원은 엑스(X·옛 트위터)에 “한국에서 가장 인기 있는 채팅 앱인 카카오톡에서 다른 사용자의 계정을 탈취하고 채팅 메시지를 읽는 데 사용할 수 있는 보안 취약점을 발견해 카카오에 제보했다”고 밝혔다.

그러면서 “우리는 지난해 12월 카카오 버그바운티(보안 취약점 신고포상제) 프로그램을 통해 이 취약점을 보고했으나, 카카오 버그바운티는 한국인만 현상금을 받을 수 있기 때문에 보상을 받지 못했다”고 아쉬움을 토로했다.

버그바운티는 공격자의 입장에서 기업의 서비스나 제품 등을 해킹해 취약점을 발견해 보고한 화이트해커에게 포상금을 지급하는 제도로 주요 빅테크 기업들이 운영하는 제도다. 이 제도를 통해 빠르게 보안 패치를 적용할 수 있는 것으로 알려져 있다. 국내에선 삼성·네이버·카카오·네오위즈·한글과컴퓨터 등 기업이 실시 중인 제도다.

이 외국인 보안연구원은 공격자의 입장에서 링크 클릭을 유도하는 영상을 올렸다. 해당 링크 클릭 한 번에 계정 탈취가 가능했다. 공격자가 비밀번호를 바꿀 수도, 메시지를 보내고 과거 메시지를 보는 것도 가능했다.

외국인 보안연구원의 엑스에 표시된 자세한 설명에 따르면 지난해 12월 기준 카카오톡 패치 버전인 10.4.3에서 딥링크 유효성 검사 문제로 원격 공격자는 웹뷰에서 임의의 자바스크립트를 실행해 액세스 토큰을 유출할 수 있는 것으로 나타났다. 이 토큰은 공격자가 제어하는 장치를 등록해 계정 탈취부터 메시지 엿보기까지 가능한 것으로 전해졌다. 이 취약점은 CVE-2023-51219에 할당됐다.

이어 카카오톡은 기본적으로 종단 간 암호화(E2EE) 메시지는 활성화돼 있지 않은 것으로 확인됐다. E2EE는 문자 그대로 메시지를 전송하는 곳부터 받는 곳까지 모든 과정에서 암호화 상태를 유지하는 암호화 방식이다. 카카오톡의 ‘보안 채팅’에는 옵트인 E2EE 기능을 가진 것으로 확인됐으나, 대부분의 카카오톡 이용자들이 사용하는 일반채팅방·그룹메시지·음성 통화와 같은 기능에서는 E2EE 기능이 탑재되지 않은 것으로 해석된다.

그는 “아시아의 채팅 앱은 여전히 보안 연구 커뮤니티에 잘 드러나지 않고 있다”며 “이번 취약점 발견으로 동료 연구자들이 이런 앱에 대해 더 파헤칠 수 있길 바란다”고 강조했다.

이와 관련해 보안업계 관계자는 “보안 취약점을 찾아 공익을 위해 제보하는 일부 해커가 보상을 바라는 입장이라면 이런 취약점을 불법으로 정보를 사고파는 다크웹에 판매하는 게 나았을 것”이라며 “이 경우 개인정보 탈취 문제는 걷잡을 수 없이 커진다”고 강조했다.

이 관계자는 이어 “국민 메신저라 불리는 카카오톡에서 보안 취약점이 발견됐고 이를 해외에서 제보가 들어왔으면 한국인에 국한해 보상할 것이 아니라 그에 맞는 보상이 이뤄졌어야 했다”고 지적했다.

김기찬 기자 gckim@skyedaily.com 기자페이지 +