Tossのプログラムは最初の2年間は数ヶ月しか実行されませんでしたが、2023年末以降、同社は継続的に維持しています。ハッカーはアプリケーションの脆弱性を発見したらいつでも報告できます。これらのホワイトハットハッカーは、重大なバグを発見することで最大3,000万ウォン（5億ベトナムドン以上）の報酬を受け取ることができます。

Tossは、韓国で唯一、定期的にバグ報奨金プログラムを運営している金融会社です。ホワイトハットハッカーであり、Tossのセキュリティ責任者でもあるリー・ジョンホ氏によると、これは同社のセキュリティ能力に対する自信を反映しているとのこと。

8ax1ybjo.png
トスのセキュリティ責任者、イ・ジョンホ氏。写真：コリア・ヘラルド

イ氏はコリア・ヘラルド紙の取材に対し、バグ報奨金プログラムによって、企業が気づいていなかったセキュリティシステムの脆弱性が明らかになる可能性があると述べた。さらに、Tossは韓国企業の中で唯一「レッドチーム」を擁している。レッドチームとは、セキュリティシステムや戦略の有効性を検証するために攻撃をシミュレーションするサイバーセキュリティ専門家のチームを指す用語である。

Tossのレッドチームは、リー氏に加えて10名のホワイトハットハッカーで構成されています。彼らは「ブルーチーム」（防御チーム）と日々連携しています。「偏見を取り除くことで、企業が見落としている脆弱性を発見し、防御を突破しようとします。こうして、真の脅威に対するレジリエンスを強化しているのです」とリー氏は説明します。

Tossは、Toss GuardやPhishing Zeroといったカスタマイズされた防御プログラムを開発し、社内に統合することで、セキュリティ対策を強化してきました。これらの対策は、企業の成長に対応するための柔軟性と拡張性を確保するだけでなく、Toss独自の環境に適した堅牢な防御システムの構築にも役立っていると、Lee氏は強調しました。

しかし、セキュリティ強化への取り組みは、莫大なコストがかかることから、企業にとって容易な選択肢ではありません。Tossを運営するViva Republicaのレポートによると、昨年のIT投資額839億ウォンのうち、11.5%（96億ウォン相当）がセキュリティに充てられており、これは韓国のテクノロジー企業の中で最も高い割合の一つです。

リー氏は、セキュリティ強化へのこのコミットメントこそが、Tossへの入社を選んだ理由だと語りました。セキュリティソリューションプロバイダーのRaonSecureで10年間勤務した後、リー氏は多くの企業から引き抜かれました。当初、彼はTossへの入社を断りましたが、後に創業者兼CEOのリー・スンゴン氏に説得され、考えを変えました。

リー氏は、Tossの防御システムは完璧ではないことを強調した。皮肉なことに、技術の進歩に伴い、サイバー犯罪者は私たちの日常生活への侵入を容易にしていると彼は指摘した。ビッグランゲージモデリングやChatGPTといったAI技術は新たな攻撃手法を生み出し、サイバー犯罪者の参入障壁を下げている。さらに、月額制のサブスクリプションサービスとして提供されるランサムウェアもある。

急速に成長する市場を認識し、リー氏は、企業が既成のソリューションに頼るのではなく、独自のセキュリティシステムを開発することが不可欠だと主張しています。同時に、サイバー攻撃のリスクを軽減するには、全体的な意識向上が不可欠だと考えています。彼は、学校の防火教育と同様に、サイバーセキュリティを義務教育プログラムに組み込むことを提案しています。

（コリア・ヘラルド紙によると）