매년 개최되는 Pwn2Own 밴쿠버는 세계 최고의 해커들과 사이버보안 전문가들이 버그 및 제로데이 익스플로잇을 활용해 소프트웨어를 합법적으로 공격하고, 그 대가로 상금과 명예를 얻는 대표적인 해킹 경연대회입니다. 올해로 행사 개최 15주년을 맞이했습니다.
올해 첫째 날 경연에서 참가자들은 무려 16개의 제로데이 취약점을 이용해 Windows 11, Microsoft Teams 등 다수의 주요 소프트웨어를 성공적으로 공격하며 총 80만 달러(약 10억 원)의 상금을 쓸어 담았습니다.
세 팀의 Microsoft Teams 공격 성공
가장 먼저 표적이 된 것은 Microsoft Teams였습니다. 헥토르 페랄타(Hector Peralta)는 부적절한 설정 취약점을 이용해 Teams를 공격하는 데 성공했으며, 이를 통해 15만 달러의 상금과 'Master of Pwn' 포인트 15점을 획득했습니다.
일본의 유명 보안 연구원 마사토 키누가와(Masato Kinugawa) 역시 감염, 설정 오류, 샌드박스 탈출로 이어지는 3단계 버그 체인을 실행하며 Teams를 해킹했고, 같은 금액인 15만 달러를 받았습니다.
마지막으로 STAR Labs의 빌리 정빙중(Billy Jheng Bing-Jhong), 무함마드 알리파 람한(Muhammad Alifa Ramdhan), 응우옌 호앙 타익(Nguyễn Hoàng Thạch)은 클릭 한 번 없이 실행되는 제로클릭 방식의 2개 버그 익스플로잇 체인을 시연하며 또 하나의 성공 사례를 만들어냈습니다.
Windows 11도 예외가 아니었다
강화된 보안 조치에도 불구하고 Microsoft의 차세대 운영체제 Windows 11 역시 해커들의 표적을 피하지 못했습니다. 마르친 비온조프스키(Marcin Wiązowski)는 OOB(Out-of-Bounds) 쓰기 기반 권한 상승 취약점을 활용해 Windows 11을 공격하는 데 성공했고, 이 공적으로 4만 달러의 상금과 'Master of Pwn' 포인트 4점을 받았습니다. 특히 Microsoft로부터 "높은 평가"라는 찬사까지 받았다고 전해졌습니다.
다른 주요 소프트웨어도 무사치 않아
이 외에도 Oracle VirtualBox, Mozilla Firefox, Ubuntu Desktop, Apple Safari 등 다양한 제품이 소프트웨어 해커들의 공격을 받았으며, 각 취약점 발견자들은 상금과 명예를 함께 가져갔습니다.
이러한 해킹 경연대회는 단순한 기술 시연을 넘어 중요한 의미를 지닙니다. Microsoft 등 기업들은 이런 행사를 통해 해커들이 악용할 수 있는 보안 허점을 미리 파악할 수 있고, 이를 바탕으로 더욱 정교한 보안 대책과 패치를 마련할 수 있기 때문입니다.