유나이티드항공, 첫 항공사 버그 바운티를 현금이 아닌 마일리지로 지급

유나이티드항공이 자사 웹사이트와 앱의 결함을 신고하는 연구자에게 보상하는 버그 바운티 프로그램을 시작한 지 두 달 후, 보안 연구자 조던 윈스는 첫 보상으로 100만 마일리지를 받았다. 그는 항공사 웹사이트의 원격 코드 실행 결함에 대한 세부 정보를 제출했고, 해당 마일리지는 그의 마일리지 계정에 입금되었다.

유나이티드는 버그 바운티 프로그램을 시작한 최초의 항공사로, 보안 연구자를 자사 항공편에서 탑승 금지시킨 데 대해 거센 비판을 받은 후 2015년 5월에 이를 발표했다. 보상 구조는 이례적이다. 대부분의 기업 바운티 프로그램은 500달러에서 250,000달러 사이에서 달라지는 현금을 지급하지만, 유나이티드는 마일리지만 지급한다. 윈스가 받은 100만 마일의 현금 가치는 약 25,000달러였다.

마일리지는 버그의 심각도에 따라 규모가 달라진다. 크로스 사이트 스크립팅은 50,000마일, 인증 우회는 250,000마일을 받을 수 있으며, 공격자가 원하는 악성 코드를 원격으로 실행할 수 있게 하는 원격 코드 실행 결함은 최고 보상을 받는다. 이전에 버그 바운티 프로그램에 제출한 적이 없었던 윈스는 자신이 원격 코드 실행이라고 꽤 확신했지만 '시시한' 것이라고 생각했던 두 개의 버그를 제출했으며, 50,000마일이나 그보다 적은 보상을 예상했다. 자신이 미국 시민이고 연구가 미국에서 이루어졌음을 확인한 후, 유나이티드는 그에게 마일리지 계정을 확인해 보라고 말했다.

항공사가 스스로 발행하는 통화로 바운티를 지급한다. 100만 마일은 약 25,000달러로 읽히고 헤드라인을 장식하지만, 보안 예산에서 현금을 지출하지는 않는다.

이 프로그램은 적대적인 관계를 파이프라인으로 바꿨다. 연구자를 항공편에서 탑승 금지시킨 데 대해 유나이티드가 비판을 받은 직후에 발표되었다.

마일리지는 유나이티드가 스스로 발행하는 자산이므로, 약 25,000달러 가치의 헤드라인 보상은 현금이 들지 않는다. 반면 경쟁 프로그램들은 버그당 최대 250,000달러를 지급한다.

심각도를 마일리지로 책정하는 것 — 50,000, 250,000, 원격 코드 실행에 최고 보상 — 은 연구자들에게 어떤 버그를 추적할 가치가 있는지에 대한 공개 환율을 제공한다.

첫 접촉에서 효과가 있었다. 처음 바운티에 제출한 사람이 원격 코드 실행 결함을 발견했고, 프로그램 시작 두 달 이내에 첫 보상을 받았다.

바운티의 헤드라인 가치와 지급자에게 드는 비용은 일치할 필요가 없다. 스스로 발행하는 자산으로 지급하고, 보상을 의미 있을 만큼 크게 유지하며, 거래에서 현금을 배제하라.

윈스의 100만 마일 보상은 프로그램의 첫 보상이었으며, 2015년 5월 시작 후 약 두 달 만에 지급되었다. 유나이티드는 지급 전에 제출자에게 자격 요건 — 미국 시민권과 미국에서 이루어진 연구 — 을 확인하도록 요구했다.