[금융人사이드]"해볼 테면 해킹 해봐"…화이트해커가 지키는 토스

세계대회 석권한 화이트해커
이종호 토스 보안기술팀 리더 인터뷰
토스 해킹 요청 '버그바운티' 개최
금융권 최고 수준 보안에 자신감

편집자주금융은 쉽게 말해 '돈을 융통한다'는 뜻입니다. 단순한 말이지만 복잡한 업무가 오가고 여러 실무진의 전문성과 노력이 투입되고 있습니다. 커다란 기업을 지탱하고 움직이는 숨은 일꾼들의 모습을 들여다보겠습니다.

이종호 토스 보안기술팀 리더

금융권에서도 날로 보안의 중요성이 커지고 있다. 모바일 애플리케이션(앱)이 보편화되면서 편의성은 커졌지만, 곳곳에서는 해킹 위협이 도사리고 있다. 특히 고객의 '돈'을 다루는 금융사들 입장에서는 보안 능력이 중요한 경쟁력이 됐다고 해도 과언이 아니다. 특히 IT 회사의 색채가 짙은 핀테크 회사의 경우 이 문제에 더욱 민감하다. 매달 약 1500만명이 이용하는 토스의 경우 온라인이 오프라인보다 안전하다는 인식을 만들어 보이는 것이 곧 생존의 문제다. 이 때문에 토스에는 화이트해커만 10명이 있다. 그 중심에는 '헬소닉'으로 유명한 세계적인 화이트해커 이종호 토스 보안기술팀 리더가 있다.

이 리더는 최근 아시아경제와의 인터뷰에서 "토스는 국내에 있는 모든 해커에게 직접 '토스를 해킹해봐'라고 할 정도로 (보안에) 자신감이 있다"고 말했다. 토스는 매년 공개적으로 공격을 요청하고 취약점을 찾아낸 제보자에게 포상하는 '버그바운티'를 개최하고 있다. 그는 "그만큼 보안 측면에서 많은 것들을 해왔고, 자신감을 어필하고 싶은 목적으로 개최하는 것"이라고 설명했다.

이 리더는 해킹 올림픽이라 불리는 데프콘 CTF에서 아시아 최초로 우승했을 정도로 세계적인 화이트해커다. 이런 그가 토스를 선택한 것은 창업자인 이승건 비바리퍼블리카 대표가 보안에 대해 진심이었기 때문이다. 10년간 보안업계에서 일했던 그는 처음엔 토스로의 이직을 거절했다. 하지만 이 대표를 만난 뒤 생각이 바뀌었다. 이 리더는 "다른 기업들은 보안에 대해 진지하게 생각한다기보다 유행인 것처럼 화이트해커팀을 만들겠다는 시도를 많이 한다"며 "이 대표의 경우 조언이 필요 없을 정도로 많은 시장 조사를 했고 이 점이 확신을 들게 했다"고 전했다.

이 리더는 토스가 주요 시중은행을 포함한 1금융권에서 업계 최고 보안 수준을 갖췄다고 설명했다. 이 같은 보안 수준을 위해 토스에는 화이트해커만 10명이 있다. 이들은 '레드팀'과 '블루팀'을 나눠서 실전처럼 공격·방어 훈련을 진행하면서 토스의 보안성을 높이고 있다. 레드팀에서 최신해킹 기술을 습득해 토스를 공격하면 블루팀에서 모니터링체계, 방어체계가 잘 되어있는지 정비하는 식이다. 화이트해커 '팀'을 갖추지 못한 다른 금융사에서는 하기 힘든 방식이다. 향후 토스는 화이트해커팀 규모를 더 늘려간다는 계획이다.

토스의 화이트해커들은 고객 관점에서의 보안에도 힘쓰고 있다. 최근 악성 앱을 통한 보이스피싱 사고가 잦아지면서 토스는 이용자들을 보호하기 위한 대책을 만들었다. 이 리더는 "예를 들어 악성 앱들의 경우 각 은행이나 금융감독원의 안내음성 파일이 다 들어있는데, 이 같은 특징들을 찾아내고 연구해서 악성 앱 탐지 기술을 개발했다"며 "토스 앱을 실행하면 스마트폰 전체 앱을 검사해서 악성 앱이 탐지되면 차단해준다"고 설명했다.

이 리더는 '쓰기 편할수록 보안에 취약하다'는 오해는 토스에게 억울한 지점이라고 말했다. 이용자들은 시중은행의 보안프로그램 설치 등에 대해 불편함을 느끼지만, 한편으로는 안전하다고 믿는다는 것이다. 하지만 기술이 진화하면서 이 같은 보안을 통하지 않고도 안전하게 금융 거래를 할 수 있게 됐고, 이를 연구하는 것이 화이트해커들의 역할이다. 특히 해커들의 공격 자체도 기술 발전에 맞게 진화하고 있는 만큼 기술적으로 이를 따라가기 위해 화이트해커가 금융권에는 꼭 필요하다.

이 리더는 "기존 은행권은 오래된 인프라를 갖고 있기 때문에 새롭게 건설하기보다는 위에다가 덧붙이는 방식의 보안 시스템"이라며 "토스는 처음부터 최신 기술이 적용된 (보안) 인프라를 가지고 있기 때문에 그런 점에서 보안이 더 뛰어나다"고 강조했다.

부애리 기자 aeri345@asiae.co.kr