보안 취약점 신고 정책

최종 수정일: 2026년 9월 24일 · 버전 1.0.0

이 정책은 SwiftQuantum 서비스의 보안 취약점을 신고하는 방법, 취약점을 찾는 과정에서 지켜 주셔야 할 사항, 그리고 당사가 약속하는 대응을 설명합니다. SwiftQuantum은 미국 델라웨어주 유한책임회사인 SwiftQuantum Technologies, LLC가 운영하며, 신고는 창업자가 직접 확인하고 처리합니다. 아래 응답 기한은 이 점을 고려하여 정한 것입니다.

연락처의 기계 판독용 버전은 /.well-known/security.txt(RFC 9116)에 게시되어 있습니다.

1. 신고 방법

security@swiftquantum.tech로 이메일을 보내 주십시오. 다음 내용을 포함해 주시면 처리가 빨라집니다.

• 영향을 받는 제품, URL, API 엔드포인트 또는 앱과 앱 버전
• 문제의 내용과 예상되는 영향
• 재현 절차, 가능하다면 개념 증명(스크린샷, HTTP 요청, 짧은 스크립트 등)
• 데이터에 접근·변경·보관한 사실이 있는지, 있다면 그 내용
• 공개 감사 표시를 원하시는지와 원하시는 표기 방식

신고는 한국어 또는 영어로 작성하실 수 있습니다. 민감한 자료를 보내야 하는 경우 먼저 그 사실만 알려 주시면 전달 방법을 협의하겠습니다. 현재 PGP 공개키는 게시하지 않습니다.

앱 리뷰, 소셜 미디어, 공개 GitHub 이슈, 일반 고객지원 창구로는 취약점을 신고하지 말아 주십시오.

2. 적용 범위

적용 대상

• swiftquantum.tech 및 그 하위 도메인(*.swiftquantum.tech)의 웹 애플리케이션과 웹사이트(이 사이트 포함)
• *.swiftquantum.tech에서 제공하는 API(인증 서비스 및 SwiftQuantum Legal API 포함)
• SwiftQuantum이 Apple App Store에 게시한 iOS·iPadOS·macOS·visionOS 앱: SwiftQuantum, QuantumNative, Q-Bridge, QuantumCareer, Q-Alpha, Q-Shield, Q-Logos, Q-Bio Genesis
• SwiftQuantum 조직 명의로 배포한 오픈소스 패키지(해당 패키지 이용자에게 영향을 주는 문제에 한함)

적용 제외

• 당사가 이용하는 제3자 서비스 자체의 문제(예: Amazon Web Services, Stripe, Apple, OpenAI, Anthropic, IBM Quantum, 이메일 서비스 제공자). 해당 사업자에게 직접 신고해 주십시오. 다만 당사가 그 서비스를 잘못 설정하거나 연동하여 생긴 문제는 적용 대상입니다.
• 루팅·탈옥된 기기, 피해자의 잠금 해제된 기기에 대한 물리적 접근, 이미 침해된 피해자 브라우저를 전제로 하는 문제
• 실제 악용 방법이 확인되지 않은 보안 헤더·쿠키 속성·TLS 설정 누락
• 상태 변경 기능이 없는 페이지의 클릭재킹, 로그아웃 CSRF, self-XSS
• 영향이 검증되지 않은 자동 스캐너 결과
• 계정 탈취나 데이터 노출로 이어지는 현실적인 경로가 없는 요청 제한· 무차별 대입 관련 지적
• 실제 위조 발송 영향이 확인되지 않은 이메일 설정(SPF, DKIM, DMARC 정책) 지적
• 제조사가 지원을 종료한 브라우저나 운영체제에서만 발생하는 문제

적용 대상인지 확실하지 않으면 그 점을 적어 신고해 주십시오.

3. 금지 행위

• 서비스 거부 공격 금지. 부하 테스트, 대량 요청 등 다른 이용자의 이용을 저해하는 행위를 하지 마시고, 저장 공간이나 작업 대기열을 채우지 마십시오.
• 증명에 필요한 범위를 넘는 데이터 접근 금지. 개인정보에 도달한 경우 즉시 중단하고, 복사하거나 보관하지 말고, 무엇을 보았는지 신고서에 적어 주십시오. 직접 만든 계정이나 소유자가 참여에 동의한 계정만 사용해 주십시오.
• 사회공학 금지. 이용자, 창업자, 당사 거래처를 대상으로 한 사회공학 기법이나 피싱을 하지 마십시오.
• 물리적 공격 금지. 사무실, 주거지, 장비에 대한 물리적 시도를 하지 마십시오.
• 본인 소유가 아닌 데이터를 변경·삭제하지 마시고, 문제를 확인한 뒤 백도어, 지속 세션, 웹셸 등 접근 수단을 남겨 두지 마십시오.
• 본인 것이 아닌 자격증명으로 양자 하드웨어 작업이나 AI 요청을 제출하는 등 타인의 유료 자원을 사용하지 마십시오.
• 당사가 문제를 해결하기 전, 또는 제5조에 따라 합의한 공개일 전에는 취약점을 공개하거나 제3자에게 알리지 마십시오.

4. 선의의 연구자 보호(Safe Harbor)

이 정책을 따르려고 선의로 노력한 연구는 당사가 허락한 것으로 봅니다. 구체적으로 당사는

• 이 정책을 준수한 연구에 대해, 정보통신망 이용촉진 및 정보보호 등에 관한 법률이나 미국 Computer Fraud and Abuse Act 등 정보시스템 무단 접근에 관한 법률 및 기술적 보호조치 우회 관련 법률을 근거로 법적 조치를 취하지 않으며, 수사기관에 고소·고발하지 않습니다.
• 그러한 연구가 이용약관과 충돌하는 범위에서 이를 약관 위반으로 보지 않습니다.
• 이 정책을 준수한 연구를 이유로 제3자가 연구자에게 청구를 제기하는 경우, 해당 활동이 당사의 허락을 받은 것이었음을 밝히겠습니다.

이 보호는 이 정책의 적용 대상인 시스템과 행위에만 적용됩니다. 제3자를 구속하지 않으며, 당사가 소유하지 않은 시스템에 대한 테스트를 허락할 수는 없습니다. 계획한 행위가 이 정책에 부합하는지 확실하지 않으면 먼저 security@swiftquantum.tech로 문의해 주십시오.

5. 당사의 대응

SwiftQuantum은 1인이 운영합니다. 다음은 당사가 지키려고 노력하는 목표 기한이며, 보장이 아닌 노력 의무입니다.

진행 상황을 계속 알려 드리고, 수정이 완료되면 통지하며, 공개 감사 표시에 이름을 올리기 전에 동의를 구합니다. 공개하시기 전에 신고일로부터 최대 90일의 수정 기간을 주시기 바랍니다. 더 긴 기간이 필요하면 이유를 설명하고 공개일을 함께 정하겠습니다.

신고 내용상 개인정보가 노출되었을 가능성이 있는 경우, 위 일정과 별도로 개인정보처리방침과 관련 법령의 유출 통지 절차에 따라 처리합니다.

6. 포상금 없음

당사는 버그 바운티 프로그램을 운영하지 않으며, 취약점 신고에 대해 금전적 보상을 하지 않습니다. 원하시면 문제 해결 후 공개적으로 감사 표시를 해 드립니다. 금전 지급을 세부 내용 공개의 조건으로 요구하는 것은 이 정책상 선의의 신고로 보지 않습니다.

7. 관련 문서

• 개인정보처리방침
• 수탁자 목록
• 개인정보 처리위탁 계약(DPA)
• 이용약관

8. 정책 변경

이 정책은 변경될 수 있습니다. 변경할 때마다 위의 버전과 최종 수정일을 갱신하며, 신고를 제출한 날에 시행 중이던 버전이 그 신고에 계속 적용됩니다.

이 정책은 여러 언어로 게시됩니다. 언어 간 내용이 다를 경우 영어 원문이 우선합니다.