밸브가 서비스 중인 디지털 유통 플랫폼 ‘스팀’에서 캐시를 무제한 충전할 수 있는 버그가 발견됐다. 하지만 이 버그 발견자에게 잠재적 피해 대비 적은 보상금을 지급한 것으로 나타났다.

데일리스윅에 따르면, 보안 취약점을 발견하는 해커에게 포상금을 지급하는 버그바운티 사이트인 ‘해커원’에서 활동하는 해커 ‘닥터 브릭스’는 지난 8월 초, 무제한으로 캐시를 충전할 수 있는 보안 취약점(익스플로잇)을 발견, 이를 밸브에 비공개로 제보했다.

이번 보안 취약점은 특정 용어가 포함된 주소로 스팀 계정 이메일을 수정한 뒤, 네덜란드의 결제 수단인 Smart2Pay로 변경해 소액 결제를 진행한다. 이때 API에 대한 포스트 요청을 가로채 결제 금액을 바꿀 수 있도록 하는 내용을 담고 있다.

즉, 1달러로 결제를 한 뒤 포스트 요청을 바꿔 100달러가 결제된 것처럼 응답을 보내 스팀 지갑에 100달러를 채울 수 있는 것이다. 이를 여러 번 시도하면 캐시를 무제한 충전할 수 있었던 것. 이 문제는 닥터 브릭스가 제보한 지 며칠 뒤, 패치를 통해 해결됐다.

닥터 브릭스는 이 문제가 해결된 뒤 이 내용을 해커원 보고서를 통해 공개했다. 그는 “이번 취약점을 악용해 해커들이 게임 키를 저렴하게 판매해 돈을 벌고 스팀의 경제를 무너뜨릴 수 있었다”고 지적했다.

그러면서 밸브 측은 “해당 보안 취약점을 검증한 뒤 이 문제를 심각한 수준으로 책정, 그에 따라 보상금을 적용했다”고 밝혔다. 그리고 밸브는 이번 보안 취약점을 발견한 닥터 브릭스에게 보상금으로 7,500달러, 한화 약 870만 원을 지급했다. 

하지만 잠재적 피해에 비해 보상금이 너무 박하다는 지적이다. 물론, 해커원을 통해 지급되는 평균 보상금이 3,650 달러라는 통계에 비하면 약 2배에 달하는 금액이다. 그리고 취약점의 수준에 따라 지급액에 편차가 있다.

그러나 이 문제가 해결되지 않고 보안 취약점이 공개되거나, 소수의 사람들에게 퍼져 악용됐다면 밸브가 입을 피해는 7,500 달러가 아닌 그 몇 배에 달하는 금액이 될 수 있었다. 참고로 라이엇게임즈의 경우 ‘발로란트’의 보안 취약점을 발견하는 사람에게는 무려 10만 달러(약 1억 1,690만 원)를 지급하고 있다. 

박상범 기자  ytterbia@gamevu.co.kr

<저작권자 © 게임뷰, 무단 전재 및 재배포 금지>