책임 있는 취약점 공개

최종 업데이트: 2026년 10월 20일

1. 소개

사람들은 자신의 정보, 손글씨, 그리고 카드를 쓰는 상대의 이름과 주소를 저희에게 맡겨 주십니다. Snailgram에서 보안 취약점을 발견하셨다면 꼭 알려 주세요. 이 정책은 제보 방법, 점검하는 동안 지켜 주셔야 할 규칙, 그리고 저희가 어떻게 응답하는지를 설명합니다.

이 정책은 Snailgram을 운영하는 AWS, CYY & Co. Pty Ltd(ACN 686 116 245)가 Mumu, Lulu & Co.(ABN 54 837 123 965)의 수탁자(trustee)로서 게시합니다.

저희는 유료 버그 바운티를 운영하지 않으며 제보에 대한 보상금을 지급하지 않습니다. 허락해 주신다면 문제가 해결된 후 이 페이지에 성함을 밝혀 감사를 전하겠습니다.

2. 범위

이 정책이 다루는 대상은 다음과 같습니다.

• 카드 스튜디오와 결제를 포함한 snailgram.com.au의 웹사이트,
• 표지를 만들고, 디자인과 손글씨 샘플을 저장하고, 주문을 받는 웹사이트 뒤의 서비스, 그리고
• 주문과 관련해 보내는 이메일.

Square, Australia Post, Amazon Web Services, Fastmail, Google처럼 저희가 이용하는 타사 서비스는 포함하지 않습니다. 이러한 서비스의 문제는 해당 제공업체에 제보해 주세요.

3. 제보 방법

제목에 "Security"를 적어 support@snailgram.com.au로 이메일 주세요. 다음 내용을 포함해 주세요.

• 문제에 대한 설명과 예상되는 영향,
• 영향을 받는 페이지, 엔드포인트 또는 기능,
• 개념 증명(proof-of-concept) 코드, 스크린샷 또는 요청을 포함한 단계별 재현 방법, 그리고
• 연락할 방법, 그리고 성함을 밝혀 감사를 전하기를 원하는지 여부.

노출된 키, 비밀번호 또는 기타 비밀 정보를 발견하셨다면 즉시 알려 주시고 사용하지 마세요. 가능하면 영어로 작성해 주세요.

4. 요청 사항

취약점을 찾고 제보할 때는 다음을 지켜야 합니다.

• 본인의 것이거나 소유자의 허락을 받은 주문, 디자인, 손글씨 샘플로만 테스트합니다.
• 본인의 것이 아닌 개인정보, 메시지, 주소 또는 손글씨에 접근하게 되면 즉시 중단하고, 무엇에 접근했는지 알려 주세요. 이를 복사, 보관, 변경, 삭제하거나 누구와도 공유하지 마세요.
• 서비스 거부 공격, 부하 테스트, 대량 자동 스캔을 포함해 사이트를 저하시키거나 중단시키지 않습니다.
• 동의 없이 다른 사람에게 카드를 주문하지 않으며, 저희 고객, 고객이 카드를 쓰는 상대, 저희 팀에게 연락하지 않습니다.
• 저희 팀, 사업장 또는 제공업체에 대해 사회공학, 피싱 또는 물리적 공격을 하지 않습니다.
• 다른 사람의 결제 카드나 정보를 사용하지 않습니다.
• 취약점이 존재함을 보이는 데 필요한 것만 합니다.
• 저희가 문제를 해결할 때까지, 또는 제보 후 90일이 지날 때까지 중 더 빠른 시점까지 세부 내용을 비밀로 유지합니다. 저희와 달리 합의한 경우는 예외입니다. 그리고
• 법을 준수합니다.

5. 저희의 대응

이 정책에 따라 취약점을 제보해 주시면 저희는 다음을 합니다.

• 영업일 기준 2일 이내에 제보 접수를 알려 드립니다.
• 문제를 재현할 수 있는지 알려 드리고 진행 상황을 계속 공유합니다.
• 확인된 취약점은 90일 이내에, 개인정보가 위험에 처하는 경우에는 그보다 빨리 해결하는 것을 목표로 합니다. 그리고
• 문제가 해결되면 알려 드리고, 요청하셨다면 성함을 밝혀 감사를 전합니다.

문제가 개인정보와 관련된 경우, 이를 평가한 뒤 개인정보 처리방침 제11조에 설명된 대로 영향을 받는 분들과 호주 정보위원회 사무국(Office of the Australian Information Commissioner)에 통지합니다.

6. 면책(Safe harbour)

선의로 행동하고 이 정책을 따르신다면, 저희는 귀하의 조사를 승인된 것으로 간주하고 이에 대해 법적 조치를 취하지 않으며 수사기관에 신고하지 않습니다. 이 정책을 따른 조사를 이유로 제3자가 귀하에게 법적 조치를 취하면, 저희가 이를 승인했음을 알리겠습니다.

이 정책을 위반했거나, 필요 이상으로 접근했거나, 문제를 공개하지 않는 대가로 금전을 요구한 경우에는 적용되지 않습니다. 하려는 일이 허용되는지 확실하지 않다면 먼저 support@snailgram.com.au로 문의해 주세요.

7. 취약점으로 보지 않는 것

사이트나 이용자의 보안에 실제 영향을 준다는 점을 보이지 못하는 한, 다음은 일반적으로 이 정책의 대상이 아닙니다.

• 작동하는 개념 증명 없이 자동 스캐너에서 나온 보고,
• 보안 헤더, 쿠키 플래그 또는 이메일 인증 레코드(SPF, DKIM, DMARC)의 누락만 단독으로 있는 경우,
• 해로운 결과를 낳을 수 있는 동작이 없는 페이지에서의 클릭재킹,
• 셀프 XSS, 또는 잠금 해제된 타인의 기기에 물리적으로 접근해야 하는 문제,
• 표지 생성기가 예상치 못했거나 부적절한 이미지를 만들게 하는 것(다른 사람의 데이터를 노출하거나 결제를 우회하는 경우는 제외),
• 소프트웨어 버전 노출, 또는 보안상 영향이 없는 동작에 대한 속도 제한 누락, 그리고
• 서비스 거부, 그리고 제2조에 나열된 타사 서비스의 취약점.

8. 정책 변경

저희는 이 페이지에 새 버전을 게시하고 상단의 날짜를 갱신하는 방식으로 이 정책을 변경할 수 있습니다. 제보하실 때 게시되어 있던 버전이 해당 제보에 적용됩니다.