Rules

운영 방식

사전에 초청한 보안 연구원이 참여할 수 있는 비공개(Closed) 방식으로 운영됩니다.
참가자는 회사가 요구하는 비밀유지서약서(NDA)를 체결한 경우에만 프로그램에 참가할 수 있습니다. 비밀유지서약서(NDA) 체결 전에는 어떠한 테스트도 수행할 수 없습니다.
대상 자산, 테스트 기간, 계정, 제보 채널, 요청 빈도 제한 등 개별 테스트의 기술적 조건은 SK텔레콤에서 참가자에게 서면 또는 전자적 방법으로 안내한 문서를 따릅니다.
참가자는 개별 테스트 조건에서 SK텔레콤이 정한 의무와 금지 사항을 준수해야 합니다.

초청 및 참여 자격

SK텔레콤의 개별 초청을 받은 사람만 본 프로그램에 참가할 수 있습니다.

초청을 받은 사람은 다음 조건을 모두 충족하고, 테스트 시작 전에 비밀유지서약서(NDA)를 체결해야 합니다.

만 19세 이상으로서 자신의 본국법에 따라 성년인 자
본 약관 및 비밀유지서약서(NDA)에 동의한 자
보상 지급 및 세무 처리를 위한 본인 확인이 가능한 자
법령, 제재 규정 및 외환 지급 제한에 따라 보상 지급이 가능한 자
SK텔레콤이 정한 프로그램 운영 기준을 충족한 자

다음에 해당하는 사람은 본 프로그램에 참가할 수 없습니다.

국제 제재 대상국 거주자 또는 제재 대상자
보상 지급이 법령상 또는 실무상 불가능한 국가의 거주자
SK텔레콤 임직원 / 계열사 임직원 / 정보보호‧시스템 개발‧운영에 관한 계약을 체결한 협력사의 임직원 및 임직원의 배우자, 직계혈족 및 형제자매
기타 이해 충돌 가능성이 있다고 SK텔레콤이 판단한 자

기본 원칙

참가자는 다음 원칙을 준수해야 합니다.

최소 증명 원칙
취약점의 존재와 영향을 입증하는 데 필요한 최소한의 행위만 수행해야 합니다.

예를 들어 특정 기능에서 보안상 문제가 있을 가능성을 확인한 경우에도, 실제 고객 정보나 내부 데이터를 조회·수집해서는 안 됩니다. 테스트는 문제의 존재 여부를 확인할 수 있는 최소한의 범위에서 수행해야 합니다.

서비스 보호 원칙
테스트 과정에서 서비스의 안정성, 가용성, 데이터 무결성을 해치면 안 됩니다.

개인정보 보호 원칙
실제 사용자 데이터, 개인정보, 계정 정보, 결제 정보, 내부 문서 등을 열람·수집·저장·전송해서는 안 됩니다.

불가피하게 민감한 정보가 노출된 것을 확인한 경우 즉시 접근을 중단하고, 가장 빠르게 제보해야 합니다.

비공개 원칙
제보 내용, 취약점 상세, PoC, 대상 자산 정보, 내부 커뮤니케이션 내용은 SK텔레콤의 사전 서면 동의 없이 외부에 공개할 수 없습니다.

관련 내용의 공개가 필요한 경우, 공개 범위, 시점, 방식 등에 대해 SK텔레콤의 사전 서면 동의를 받아야 하며, 동의된 범위 내에서만 공개할 수 있습니다.

허용되는 테스트

다음 행위는 SK텔레콤의 개별 초청을 받고 비밀유지서약서(NDA)를 체결한 참가자가 별도의 테스트 승인을 받은 뒤, 승인된 기간과 대상 자산 및 본 프로그램의 규칙을 준수하는 범위 안에서만 허용됩니다. 이 조건을 충족하지 않은 테스트는 허용되지 않습니다.

대상 자산에 대한 취약점 분석
취약점 존재 여부를 확인하기 위한 제한적 요청
재현 가능한 PoC 작성 및 제출
인증 우회, 인가 우회, 정보 노출, 입력값 검증 미흡 등 보안 취약점 검증
중대한 영향을 입증하기 위한 제한적 취약점 연계

취약점 연계 과정에서도 실제 사용자 데이터 접근, 서비스 장애 유발, 권한 획득 후 과도한 탐색 및 지속성 확보는 허용되지 않습니다.

금지되는 행위

다음 행위는 프로그램 위반으로 간주되며, 보상 대상에서 제외될 수 있습니다. 경우에 따라 프로그램 참가 제한 또는 법적 검토가 진행될 수 있습니다.

금지행위	예시
서비스 거부 공격	DoS, DDoS, Slowloris, 자원고갈, 과도한 부하 테스트
요청 제한 초과	개별 테스트 조건에서 정한 요청 빈도 제한을 초과하는 요청(별도 제한을 안내하지 않는 경우 초당 10회를 초과하는 요청), 서비스에 부담을 주는 자동화 테스트
무차별 자동화 스캔	공격성 스캐너를 이용한 대량 요청, 무단 크롤링, 무차별 디렉터리 스캔
실제 사용자 데이터 접근	개인정보, 계정 정보, 결제 정보, 메시지, 파일, 내부 데이터 열람·수집
데이터 변조·삭제	프로덕션 데이터 수정, 삭제, 암호화, 상태 변경
권한 획득 후 과도한 탐색	취약점 증명을 넘어선 내부망 이동, 수평 이동, 지속성 확보
백도어 설치	웹쉘, 백도어, 리버스 쉘, 지속 접근 수단 설치
소셜 엔지니어링	임직원, 고객, 협력사 대상 피싱, 사칭, 전화, 이메일 공격
물리적 공격	사무실, 데이터센터, 직원 기기, 네트워크 장비에 대한 물리적 접근
제3자 공격	회사가 소유하거나 명시적으로 허용하지 않은 제3자 서비스 공격
무단 공개	블로그, SNS, 커뮤니티, 콘퍼런스 등 외부 채널에 사전 공개
모바일 루팅·탈옥 테스트	루팅된 Android 또는 탈옥된 iOS 환경에서의 테스트

모바일 앱 테스트 제한

모바일 앱 테스트는 공식 배포 버전과 일반 사용자 환경을 기준으로 수행해야 합니다.

다음 행위는 허용되지 않습니다.

루팅/탈옥 환경에서만 재현되는 취약점 제보
앱 무결성 검증 우회만을 목적으로 한 테스트
로컬 단말 내 데이터 조작만으로 성립하는 취약점 제보
서버 측 영향 없이 본인 기기에서만 발생하는 취약점 제보

단, 일반 사용자 환경에서 재현 가능하고 서버 측 보안 영향이 명확한 경우에는 별도 검토할 수 있습니다.

제보 방법 및 제출 요건

제보는 취약점의 재현과 영향도 판단이 가능하도록 충분한 정보를 포함해야 합니다.

필수 제출 정보는 다음과 같습니다.

항목	내용
대상 자산	도메인, 기능명, URL, API 등
취약점 유형	예: 인증 우회, 인가 우회, XSS, SQL Injection, 정보 노출 등
재현 단계	누구나 따라할 수 있는 단계별 설명
영향도	공격자가 얻을 수 있는 권한, 접근 가능한 정보, 서비스 영향
PoC	cURL, 스크립트, 요청·응답, 스크린샷, 영상 등
테스트 환경	브라우저, OS, 앱 버전, 계정 유형, 네트워크 환경 등
완화 제안	가능한 경우 패치 또는 완화 방안

좋은 제보는 다음 요소를 포함합니다.

명확한 재현 절차
최소한의 PoC
실제 영향도 설명
취약점의 근본 원인 분석
유사 취약점 가능성이 있는 위치
안전한 수정 방향

중복 제보 및 평가

동일하거나 유사한 취약점이 여러 번 제보된 경우 원칙적으로 최초로 유효한 정보를 제출한 참가자의 제보를 우선합니다.

중복 여부는 URL이나 화면의 동일성만이 아니라 근본 원인, 영향도 및 공격 체인을 기준으로 판단합니다.

다음은 중복으로 판단될 수 있습니다.

동일한 근본 원인에서 발생한 여러 엔드포인트의 취약점
동일 기능에서 파라미터만 다른 취약점
이미 내부에서 인지하고 조치 중인 취약점
이미 다른 참가자가 먼저 제보한 취약점

기존 제보보다 현저히 큰 영향도 또는 새로운 공격 체인을 입증한 경우 SK텔레콤은 별도로 평가할 수 있습니다.
회사는 제보를 접수한 날부터 영업일 기준 10일 이내 접수 사실을, 60일 이내에 평가 결과(중복 여부, 유효성, 심각도 등급 및 보상 여부)를 참가자에게 통지합니다.
이미 내부에서 인지하고 조치중인 취약점의 경우 SK텔레콤에서 그 취약점을 내부에서 인지한 시점을 함께 통지합니다.
참가자는 평가 결과를 통지받은 날부터 14일 이내 1회에 한하여 재평가를 요청할 수 있으며, SK텔레콤은 재평가 결과를 30일 이내에 통지합니다.

보상 기준 및 지급

보상 산정 및 지급 기준은 SK텔레콤 내부 평가 기준과 지급 절차를 따릅니다.
보상 평가 시 다음 요소를 종합적으로 고려합니다.

취약점의 심각도
대상 자산의 중요도
실제 악용 가능성
영향 범위
재현 가능성
보고서 품질
PoC 완성도
패치 또는 완화에 기여한 정도
기존에 알려지지 않은 새로운 공격 기법 여부

등급별 보상 범위와 평가 기준은 참가자에게 초청 안내 시 제공됩니다. 바뀌는 경우에는 변경 후 접수된 제보부터 적용됩니다.

이 프로그램은 SK텔레콤이 사전 초청한 보안연구원이참여하는 Closed Bug Bounty 입니다