내부 직원 신분 이용해 버그 보고서 훔치고 상금까지 가로챈 해커원 직원

요약 : 보안 외신 핵리드에 의하면 버그바운티 플랫폼인 해커원(HackerOne)의 직원 한 명이 접수되는 버그 보고서를 지속적으로 가로챈 후, 그 보고서를 똑같이 복제하고 다른 이름으로 제출해 상금을 가로챘다고 한다. 이 직원은 올해 4월 처음 입사했다고 하며, 해커원 측은 이 사실을 알자마자 해당 직원을 6월 30일자로 해고했다고 발표했다. 해커원은 무기명으로 보고서를 접수받기도 하는데, 이러한 시스템의 허점을 노린 것이라고 한다. 한 해커원 사용자가 버그 보고서와 상금 내역을 보고 의심이 들어 신고한 것 때문에 이 직원의 덜미를 잡을 수 있었다고 한다.


배경 : 해당 직원은 4월 4일부터 6월 23일까지 회사 내 각종 데이터베이스에 자유롭게 드나들었으며, 이를 통해 여러 보고서에 접근할 수 있었다고 한다. 이 때문에 총 7개의 해커원 고객사에 영향이 있었다고 한다. 아직 해커원이나 다른 회사들이 이 직원에 대하여 어떤 고발 조치를 취할지는 결정되지 않은 것으로 알려져 있다.

말말말 : “해당 직원은 해커원에 따로 계정을 만들어 활동했습니다. 이 계정으로 가짜 보고서를 제출하고 상금을 받기 위해서였습니다.” -해커원-
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>