저도 개인정보 취약점을 알고 있는 사이트가 있습니다. 이게 인증이야? 싶을 정도의 유저인증으로 로그인 인증하여 API를 호출할 수 있고 이름, 성별, 휴대폰번호, 집주소, 자동차번호 등의 개인정보를 유출 가능합니다. 동의하에 와이프, 큰누나, 지인등의 정보로  로그인이 쉽게 가능하다는 것도 파악했습니다.

저는 제가 사용하는 서비스가 추가되면, 가장 기존적인 보안 테스트를 합니다. 취미 겸 내 개인정보를 맡겨도 되는지 테스트 하는거죠.. 그런데 그 과정에 취약점이 발견이 된거예요..

POC코드까지 만들어 KISA에 신고했더니, 두어달만에 포상항목이 아니라는 응답만 오고 끝이네요. 해당 업체에 통보라도 했는지는 모르겠습니다.

그후 바빠서 그냥 뒀는데 이번 쿠팡사건을 보고 갑자기 생각났습니다. 회사에 직접 알려줘야 하나..

KISA의 대응이 너무 비합리적입니다. 뭐 포상이 안된다고 칩시다. 그런데 답변이 포상은 안되지만 업체에 통보해 취약점을 수정하도록 안내하겠다. 감사하다. 이런식의 처리와 답변이었으면 더 나았을텐데 너무 수동적이고 구립니다. 아마 안좋은 의도를 가진사람이 발견하면 아마 이 정보가 안좋은 의도로 활용되거나 다크웹에 팔아버릴겁니다.

솔직히 KISA 취약점 보상금 너무 저렴합니다. 그런데다 이렇게 최근 추가 조항까지 만들어 보상 항목을 줄여버리면 충분히 다크웹의 유혹이 커질수밖에 없습다.

생각난김에 주중에 해당 업체에 알려주고 수정을 요구해야겠습니다. 저도 사용자이고 피해가 될수도 있구요..