De to første årene kjørte Toss sitt program bare i noen få måneder, men siden slutten av 2023 har selskapet vedlikeholdt det kontinuerlig. Hackere kan rapportere sårbarheter i applikasjonen når de oppdager dem. Disse white-hat-hackerne kan belønnes med opptil 30 millioner won (over en halv milliard vietnamesiske dong) for å finne kritiske feil.

Toss er det eneste finansselskapet i Sør-Korea som regelmessig kjører et bug bounty-program. Dette gjenspeiler selskapets tillit til sine sikkerhetskapasiteter, ifølge Lee Jong Ho, en white-hat-hacker og sikkerhetssjef hos Toss.

8ax1ybjo.png
Lee Jong Ho, sikkerhetssjef hos Toss. Foto: Korea Herald

I et intervju med Korea Herald sa Lee at bug bounty-programmet kan avdekke sårbarheter i et selskaps sikkerhetssystem som det ikke var klar over. Videre er Toss det eneste koreanske selskapet med et «rødt team» – et begrep som refererer til et team av cybersikkerhetseksperter som har i oppgave å simulere angrep for å teste effektiviteten til sikkerhetssystemer eller -strategier.

Toss' røde team består av 10 white-hat-hackere i tillegg til Lee. De samarbeider daglig med det «blå teamet» (forsvarsteamet). «Ved å fjerne skjevhetene oppdager vi sårbarheter som selskaper overser og prøver å trenge inn i forsvaret, og dermed styrker vi vår motstandskraft mot reelle trusler», forklarer Lee.

Toss har forbedret sikkerhetstiltakene sine ved å lage tilpassede forsvarsprogrammer, som Toss Guard og Phishing Zero, og integrere dem internt. Disse tiltakene sikrer ikke bare fleksibilitet og skalerbarhet for å imøtekomme selskapets vekst, men fremmer også et robust forsvarssystem som er tilpasset Toss' unike miljø, understreket Lee.

Det er imidlertid ikke enkelt for selskaper å forplikte seg til forbedret sikkerhet på grunn av de betydelige kostnadene det medfører. Ifølge en rapport fra Viva Republica, operatøren av Toss, ble 11,5 % – tilsvarende 9,6 milliarder won – av de 83,9 milliarder won som ble investert i IT i fjor, dedikert til sikkerhet, en av de høyeste prosentandelene som er registrert blant sørkoreanske teknologiselskaper.

Lee fortalte at denne forpliktelsen til forbedret sikkerhet var grunnen til at han valgte å bli med i Toss. Etter å ha tilbrakt et tiår hos sikkerhetsløsningsleverandøren RaonSecure, var Lee ettertraktet av mange selskaper. I utgangspunktet avviste han Toss, men ble senere overtalt av grunnlegger og administrerende direktør Lee Seung Gun og ombestemte seg.

Lee understreket at Toss' forsvarssystem ikke er perfekt. Ironisk nok, etter hvert som teknologien utvikler seg, finner nettkriminelle det lettere å infiltrere hverdagen vår, bemerket han. Generering av AI-teknologier som big language modeling og ChatGPT tilbyr nye angrepsmetoder, noe som senker barrieren for nettkriminelle. I tillegg tilbys ransomware som en månedlig abonnementstjeneste.

Lee erkjenner det raskt voksende markedet og argumenterer for at det er avgjørende for selskaper å utvikle sine egne sikkerhetssystemer i stedet for å stole på ferdige løsninger. Samtidig mener han at det er nødvendig å øke den generelle bevisstheten for å redusere risikoen for cyberangrep. Han foreslår å innlemme cybersikkerhet i obligatoriske utdanningsprogrammer , på samme måte som brannsikkerhetsopplæring i skolene.

(Ifølge Korea Herald)