세계 최고의 해커를 고용하면 보안 수준은 개선될까?

세계 최고의 해커를 조직 안으로 데려오는 일은 분명 기업을 더 강하게 만들 수 있지만, 그 능력이 곧바로 기업 전체의 보안 수준으로 바뀌지는 않는다.

오래전에 이 제목으로 글을 쓰기 시작했다가 멈춘 적이 있다. 당시에는 유명한 해커를 영입하거나 뛰어난 보안 회사를 인수하는 기업들을 보면서 한 가지 의문이 들었다. 세계에서 손꼽히는 공격 전문가들을 조직 안에 데려오면 정말 그 기업의 보안 수준도 그만큼 올라가는 것일까.

그때는 생각을 끝까지 정리하지 못했다. 그런데 2026년 DEF CON CTF를 보면서 오래전에 던졌던 질문이 다시 떠올랐다. 이번에는 한두 명의 유명 해커를 영입하는 수준이 아니었다. 기업에 소속된 연구자들이 여러 팀으로 나뉘어 세계 최고 수준의 CTF에 참가하고 있었고, 기업은 그 성과를 연구 역량과 기술 경쟁력의 증거로 적극적으로 이야기하고 있었다. ENKI WhiteHat의 경우 소속 연구자들이 DEF CON CTF 34 예선 1위, 5위, 12위 팀에 각각 참여해 모두 본선에 진출했고, SK쉴더스 EQST는 네이버클라우드와 핀란드·일본 연구자들이 포함된 국제 연합팀으로 결선에 진출했다. Theori 역시 Team ABCD의 DEF CON 2026 결선 참가를 회사 차원에서 알리고 있다.¹

처음에는 이것을 단순히 한국 CTF 실력이 높아진 현상으로 생각했다. 그러나 조금 더 들여다보면 다른 변화가 보인다. 우리가 지난 20여 년 동안 반복해온 ‘해커의 능력을 조직의 능력으로 만들려는 시도’가 또 한 단계 바뀌고 있는 것이다.

이 글은 기업에 “해커를 이렇게 활용하라”고 말하기 위해 쓰는 글이 아니다. 오히려 지금 CTF를 하고 있거나, 취약점 연구·버그바운티·모의해킹을 시작한 젊은 친구들에게 하고 싶은 이야기다. 지금 여러분 앞에 열리고 있는 기회가 무엇인지, 그리고 그 기회 뒤에 무엇이 있는지를 조금 먼저 경험한 입장에서 생각해보고 싶었다.

1. 처음에는 뛰어난 개인을 데려왔다

2000년대 초반 보안업계에는 스타성이 있는 해커들이 존재했다. 리버싱, 악성코드 분석, 패커 분석, 취약점 연구 등 한 분야에서 이름을 알린 사람을 영입하는 것 자체가 기업의 기술력을 보여주는 일이 되기도 했다. 기업 입장에서는 충분히 합리적인 선택이었다. 공격자의 기술을 누구보다 잘 이해하는 사람을 데려오면 기존 조직이 보지 못했던 문제를 발견할 수 있기 때문이다.

시간이 지나면서 이런 사람들 중 상당수는 프리랜서나 전문 컨설턴트 시장으로 이동했다. 모의해킹 시장이 커지고 기업이 외부 전문인력에게 공격자의 관점에서 서비스를 검증받기 시작하면서, 개인의 기술이 하나의 시장가격을 갖기 시작했다. 그리고 자연스럽게 그 사람들이 모여 팀을 만들고 회사를 만들었다.

여기서 중요한 변화가 일어났다. 기업이 더 이상 한 명의 뛰어난 사람만을 사는 것이 아니라 이미 함께 일하는 방법을 알고 있는 사람들의 집단과 그 문화까지 사기 시작한 것이다.

내가 예전에 이 글을 쓰면서 오래 들여다봤던 GrayHash가 그 대표적인 사례 중 하나였다.

2. GrayHash는 ‘해커 한 명’이 아니라 ‘해커 집단’을 내부화하려는 시도였다

LINE Plus는 2018년 12월 GrayHash를 인수하고 GrayLab이라는 사내 보안조직으로 재편했다. LINE이 당시 공식적으로 밝힌 목적은 분명했다. GrayHash가 가지고 있던 Offensive Research 역량을 LINE 내부로 가져와 메신저, 핀테크, AI, 블록체인, 암호화폐 거래소 등에 맞는 보안 솔루션을 개발하고 적용하겠다는 것이었다. 일본 측 발표에서는 GrayHash를 완전자회사화했다고도 설명했다.²

이 사례가 흥미로운 것은 GrayHash가 거대한 회사가 아니었다는 점이다. 예전에 모아놓은 재무자료를 다시 보면, GrayHash의 2017년 매출은 약 13억 9,881만 원, 영업이익은 약 8,438만 원이었다. 2018년 매출은 약 13억 3,591만 원, 영업이익은 약 2,877만 원이었다.³

숫자만 놓고 보면 대기업이 탐낼 만한 매출 규모의 회사라고 보기는 어렵다. 그럼에도 LINE은 이 회사를 인수했다. 이것은 꽤 중요한 사실이다. 물론 공개자료에서는 인수대금이 확인되지 않기 때문에 “얼마에 샀다”는 식의 비교는 할 수 없다. 하지만 적어도 LINE이 산 것의 핵심이 GrayHash의 당시 매출 규모만은 아니었다는 것은 충분히 추론할 수 있다. LINE 스스로도 인수 이유를 세계적인 화이트해커들로 구성된 조직의 공격 연구 역량과 보안 기술에 두었다.²

즉 여기서 기업이 산 것은 단순한 용역회사의 매출이 아니라 사람, 경험, 공격자의 사고방식, 그리고 이미 형성된 연구문화에 가까웠다.

당시에는 이것이 꽤 진보적인 방식으로 보였다. 새로운 사람들을 한 명씩 뽑아 공격 연구조직을 처음부터 만드는 것보다, 이미 함께 연구하고 결과를 만들어온 팀을 한 번에 내부화하는 것이 훨씬 빠를 수 있기 때문이다.

실제로 인수 이후 GrayLab 연구자는 LINE 내부에서 사이버보안 문제를 발견하고 엔지니어와 함께 해결하는 역할을 맡았다고 설명했고, LINE은 이후에도 외부 보안 커뮤니티, Bug Bounty, 내부 보안조직을 계속 확대했다.⁴

그렇다면 이 시도는 성공한 것일까.

여기서부터 질문이 어려워진다.

3. 최고의 해커가 있어도 기업의 모든 보안 문제를 해결할 수는 없다

몇 년 뒤 LINE과 NAVER를 둘러싼 보안 문제를 보면 전혀 다른 종류의 문제가 나타난다. 2023년 말 공개된 정보유출 사고 이후 LINE Yahoo가 직접 밝힌 원인에는 위탁업체 관리 문제, NAVER와 구 LINE 사이의 시스템·네트워크 구조, 직원 시스템의 보안 문제가 포함되어 있었다. 이후 일본 총무성 역시 안전관리, 위탁업체 관리뿐 아니라 그룹 전체의 보안 거버넌스를 본질적으로 재검토하라고 요구했다.⁵

예전에 남겨놓은 메모에서도 비슷한 부분을 주목하고 있었다. 네트워크 접근이 광범위하게 허용되어 있었고, 중요한 사내 시스템의 로그인에서 다요소 인증이 충분하지 않았으며, 이상행위를 탐지하기 위한 구조 역시 문제가 되었다는 내용을 적어두었다.³

이 사례를 “세계적인 해커를 데려왔는데도 사고가 났으니 GrayHash 인수는 실패였다”고 결론 내리는 것은 잘못이다. 두 사건 사이에 그런 단순한 인과관계가 존재한다는 근거도 없다.

오히려 이 사례에서 배울 수 있는 것은 다른 것이다.

최고의 공격 연구조직을 가지고 있는 것과 기업 전체가 안전한 구조를 가지고 있는 것은 서로 다른 문제다.

취약점을 찾아내는 능력과 계열사 사이의 네트워크 구조를 바꾸는 능력은 다르다. 뛰어난 exploit을 만드는 능력과 수천 명이 사용하는 인증체계를 바꾸는 능력도 다르다. 연구자가 위험한 구조를 발견할 수는 있지만, 사업조직의 편의성을 포기하게 만들거나 조직 간 책임을 조정하고 예산을 투입해 시스템 전체를 변경하는 것은 또 다른 종류의 일이다.

숫자로 보면 이 차이가 더 잘 드러난다.

2024년 LINE Yahoo는 사고 이후 보안대책에 연간 약 150억 엔을 투입하겠다고 발표했다. 여기에는 방화벽 강화 등을 포함한 기업 전체 수준의 보안대책이 들어간다.⁶

이 금액을 앞에서 본 GrayHash의 10억 원대 연매출과 직접 비교해서 “어느 것이 더 비싸다”고 말하려는 것은 아니다. 서로 다른 시기의 서로 다른 종류의 숫자이므로 그렇게 비교해서는 안 된다. 다만 두 숫자가 보여주는 것은 있다.

세계적인 해커 팀 하나를 확보하는 문제와 거대한 기업의 보안 구조를 실제로 바꾸는 문제는 규모도 다르고 성격도 전혀 다르다.

예전에 작성하던 문서에는 일본 측 조치에 따른 보안 개선비용을 1,850만 달러 정도로 추산해 둔 메모도 있었다. 다만 그 숫자는 당시 ChatGPT 추정치라고 스스로 표시해둔 값이라 이번 글에서는 근거로 사용하지 않는다.³ 현재 확인 가능한 공식 자료에서는 LINE Yahoo가 연간 약 150억 엔의 보안대책 투자를 밝힌 것이 더 신뢰할 수 있는 숫자다.⁶

이 차이를 알아야 한다.

Offensive Security는 매우 중요하지만, Offensive Security가 곧 Security 전체는 아니다.

4. 그리고 2026년, 우리는 다시 한 단계 앞으로 가고 있다

그래서 올해 DEF CON CTF를 보면서 GrayHash가 다시 떠올랐다.

2000년대에는 뛰어난 개인을 고용했다. 2010년대에는 그런 개인들이 모여 회사를 만들었고, 큰 기업은 때때로 그 회사와 연구팀을 통째로 내부화했다. 그런데 지금은 조금 다른 모습이 나타나고 있다.

기업이 이미 완성된 해커를 기다렸다가 영입하는 것이 아니라, 해커가 성장하고 경쟁하고 연구하는 생태계에 직접 들어가고 있다.

2026년 DEF CON CTF 34 본선에는 한국 기업과 대학 연구자들이 포함된 여러 팀이 진출했고, EQST·네이버클라우드·ENKI WhiteHat·Theori·Toss·삼성리서치 등을 비롯한 다양한 조직의 연구자들이 참여했다. ENKI 연구원들은 서로 다른 세 팀에 흩어져 예선 1위·5위·12위로 본선에 올랐고, EQST가 참여한 국제연합팀은 NAVER Cloud 및 핀란드·일본 연구자들과 함께 결선에 진출했다.¹

기업들도 이 활동을 단순한 개인 취미로 설명하지 않는다. SK쉴더스는 CTF 수상과 연구활동 지원을 보안 대응 경쟁력 강화와 연결해 이야기하고 있고, Theori는 회사 자체를 국제 해킹대회 성과와 Offensive Security 역량을 통해 설명한다.⁷

이 변화는 나쁘지 않다. 오히려 좋은 기회라고 생각한다.

예전에는 뛰어난 해커가 생존하기 위해 직접 시장을 찾아야 했다. 프리랜서가 되거나, 작은 회사를 만들거나, 해외로 나가야 하는 경우도 있었다. 지금은 기업이 연구시간과 장비, 동료, 해외 대회 참가, 안정적인 급여까지 제공하며 공격 연구자를 키우려고 한다.

젊은 연구자 입장에서는 이런 환경을 마다할 이유가 없다.

다만 한 가지는 기억했으면 한다.

회사가 여러분에게 요구하는 능력과 여러분이 평생 키워야 할 능력이 반드시 같은 것은 아니다.

5. CTF는 문제를 푸는 놀라운 훈련장이지만 현실은 문제를 주지 않는다

CTF는 보안 공부를 시작하기에 매우 좋은 환경이다. 제한된 시간 안에 코드를 분석하고, 취약점을 찾고, 우회방법을 생각하고, exploit을 구현한다. 문제를 많이 풀다 보면 사람들이 시스템을 어떤 방식으로 잘못 설계하는지에 대한 감각도 생긴다.

그런데 CTF에는 현실과 결정적으로 다른 한 가지가 있다.

문제가 있다는 사실을 이미 알려준다.

어딘가에 flag가 있다는 것을 알고 시작한다. binary를 받으면 그 안에 의도된 문제가 있다는 것을 알고, 웹 문제를 받으면 풀 수 있는 경로가 존재한다는 것을 전제로 생각한다.

실제 시스템에서는 아무도 그렇게 말해주지 않는다.

“여기 취약점이 있습니다”라는 문제부터 주어지는 것이 아니라 “이 시스템은 현재 정상적으로 운영되고 있습니다”라는 상태에서 시작한다. 무엇을 봐야 할지부터 정해야 한다. 문제가 코드에 있는지, 인증 구조에 있는지, 네트워크 trust boundary에 있는지, 외부 업체와의 연결에 있는지조차 알 수 없다.

최근 내가 Attack Path를 고민하면서도 결국 같은 문제를 만났다. 취약점 하나를 발견하는 것과, 여러 취약점과 환경 조건을 연결해 실제 공격 경로를 만들어내는 것은 서로 다른 작업이다. 하나의 finding이 있다고 해서 자동으로 침해 시나리오가 생기는 것이 아니라, 공격자가 무엇을 얻었고 그것이 다음 단계의 어떤 전제를 충족하는지를 계속 따져야 한다.⁸

그리고 그보다 한 단계 더 어려운 질문이 있다.

그 공격 경로를 없애려면 무엇을 바꿔야 하는가.

6. 앞으로 좋은 해커는 취약점을 많이 찾는 사람만을 의미하지 않을 것이다

젊었을 때는 어려운 문제를 풀어내는 사람이 굉장히 멋있어 보인다. 실제로 멋있는 일이다. 남들이 하루 종일 붙잡고 있는 문제를 몇 시간 안에 풀고, 누구도 보지 못한 취약점을 찾아 exploit으로 증명하는 능력은 쉽게 얻을 수 없다.

그러니 CTF를 하지 말라는 이야기가 아니다. 오히려 할 수 있다면 많이 해봤으면 한다.

하지만 거기서 멈추지는 않았으면 한다.

처음에는 누군가가 만들어준 문제를 풀게 된다. 그다음에는 아무도 알려주지 않은 취약점을 찾는다. 조금 더 경험이 쌓이면 하나의 취약점보다 시스템 전체의 이상한 관계가 눈에 들어오기 시작한다. 왜 이 서버가 저 네트워크에 접근할 수 있는지, 왜 이 서비스 계정에는 이 권한이 필요한지, 왜 이 외부 시스템을 여기까지 신뢰하고 있는지 묻게 된다.

여기에서부터 해킹은 문제풀이와 조금 다른 일이 된다.

최근 Attack Path에 관한 글을 쓰면서 인간의 직관을 “수많은 경우를 모두 계산하는 능력”이 아니라 어디를 보지 않아도 되는지를 판단하고 가치 있는 방향을 선택하는 능력에 가깝다고 정리했다. 숙련된 사람은 모든 취약점 조합을 머릿속에서 brute force하지 않는다. 시스템과 프로토콜, 운영방식에 대한 경험을 이용해 이상한 곳을 먼저 본다.⁸

아마 앞으로 이 능력의 가치가 더 커질 것이다.

7. AI가 잘하게 될수록 ‘무엇을 물어볼지 아는 사람’이 더 중요해질 수 있다

AI가 보안 전문가를 모두 대체할 것이라고 생각하지는 않는다. 그렇다고 지금과 같은 역할 구분이 그대로 유지될 것이라고 생각하지도 않는다.

이미 AI를 이용한 보안 연구에서는 취약점 후보를 찾고, 코드를 분석하고, 명령을 실행하고, 제한된 환경에서 공격경로를 이어가는 능력이 빠르게 발전하고 있다. 동시에 현재의 agent들은 익숙한 유형에서는 성과를 내지만 비정형적인 발견과 긴 적응이 필요한 문제에서는 여전히 한계가 있다는 연구도 계속 나오고 있다.⁹

여기에서 젊은 연구자들이 생각해봤으면 하는 문제가 있다.

AI가 앞으로 문제를 더 많이 풀고 취약점 후보를 더 많이 만들어준다면, 여러분의 경쟁력을 단순히 **“남보다 더 빨리 flag를 얻는다”**에만 두는 것이 맞을까.

오히려 finding이 너무 많아지는 시대에는 다른 것이 부족해질 수 있다.

무엇이 중요한 문제인지 판단하는 능력, 시스템 전체를 보면서 수상한 경계를 찾는 능력, 서로 관련 없어 보이는 현상을 연결하는 능력, 그리고 발견한 문제를 실제 해결 가능한 형태로 설명하는 능력이다.

내가 Attack Path 작업에서 인간과 AI의 역할을 나누면서 인간에게 남긴 것도 대체로 이런 일이었다. 어떤 자산이 중요한지 결정하고, 아키텍처와 운영환경에서 수상한 경계를 찾고, 어떤 가설에 검증비용을 쓸 것인지 선택하고, 최종적으로 실제 업무에 어떤 영향을 미치는지 판단하는 역할이다.⁸

8. ‘문제를 해결하는 사람’이라는 말도 조금 다르게 생각했으면 한다

여기까지 이야기하면 흔히 “그러면 앞으로는 문제를 찾을 뿐 아니라 모든 문제를 해결하는 사람이 되어야 한다”고 말하기 쉽다.

하지만 현실은 그렇게 단순하지 않다.

보안 문제 대부분은 한 사람이 해결할 수 없다. 네트워크 문제라면 네트워크를 운영하는 사람이 있고, 제품 구조는 개발조직이 바꿔야 하며, 인증체계를 교체하려면 많은 서비스가 함께 움직여야 한다. 어떤 문제는 예산이 필요하고, 어떤 문제는 경영판단이 필요하며, 어떤 문제는 지금 당장 고칠 수조차 없다.

따라서 내가 말하는 “해결할 줄 아는 사람”은 모든 것을 자기 손으로 고치는 영웅을 뜻하지 않는다.

자신이 발견한 기술적 문제를 다른 사람들이 움직일 수 있는 문제로 바꾸는 사람에 가깝다.

“SSRF가 하나 있습니다”라고 말하는 것보다, “이 서비스가 내부 영역으로 요청할 수 있는 trust boundary 때문에 현재 발견한 SSRF뿐 아니라 앞으로 다른 입력 검증 결함이 생겨도 같은 경로가 반복될 수 있습니다. 이 조건을 끊으면 여러 공격 경로를 동시에 줄일 수 있습니다”라고 설명할 수 있는 사람이다.

공격 그래프 연구에서도 가능한 공격 경로의 수를 세는 것보다 어떤 작은 조건을 제거하면 여러 공격 경로를 동시에 끊을 수 있는지를 찾는 것이 실제 방어에서는 더 중요하다. 내가 최근 글에서도 이 부분을 강조한 이유다.⁸

그 사람이 직접 방화벽 정책을 바꾸지 않아도 된다. 중요한 것은 무엇을 바꿔야 하는지 찾아내는 것이다.

9. 다시 2026년의 CTF를 바라보며

지금 한국 보안업계에서 벌어지는 변화는 꽤 흥미롭다.

개인들이 하던 해킹이 팀이 되었고, 그 팀이 회사가 되었고, 일부 회사는 다시 큰 기업 안으로 들어갔다. 이제는 큰 기업과 전문 보안회사가 자본과 인프라를 이용해 처음부터 더 강한 연구자 집단을 만들기 시작했다.

나는 이 흐름이 실패할 것이라고 생각하지 않는다.

아마 꽤 성공할 것이다.

한국에서 더 많은 DEF CON 본선 참가자가 나올 수도 있고, 더 많은 CVE와 Pwn2Own 성과가 나올 수도 있다. 훌륭한 연구자들이 생계를 걱정하지 않고 공격 연구에 집중할 수 있는 환경이 늘어나는 것도 좋은 변화다.

다만 과거를 보면 한 가지는 분명하다.

우리는 개인의 뛰어난 공격 능력을 조직 안으로 가져오는 방법을 계속 발전시켜 왔다. 스타 해커를 채용했고, 해커들이 만든 회사를 인수했고, 이제는 해커 생태계와 연구팀을 직접 육성한다.

그런데 공격 능력을 조직 안으로 가져오는 것과 그것을 실제 보안 수준으로 바꾸는 것 사이에는 여전히 큰 간격이 존재한다.

GrayHash가 작은 회사였을 때 가지고 있던 것은 매출 규모로 설명하기 어려운 사람과 기술이었다. LINE은 그것을 알아보고 조직 안으로 가져왔다. 그러나 수년 뒤 LINE Yahoo가 마주한 문제 가운데 상당수는 접근통제, 시스템 분리, 위탁업체 관리, 인증, 거버넌스처럼 훨씬 큰 조직의 문제였고, 결국 회사는 연간 약 150억 엔 수준의 보안대책까지 추진하게 되었다.²⁵⁶

이 역사는 누가 잘했고 누가 못했다는 이야기가 아니다.

보안이라는 문제가 얼마나 큰지를 보여주는 이야기다.

10. 그래서 젊은 친구들에게 하고 싶은 말

기업들은 앞으로도 뛰어난 해커에게 돈을 지불할 것이다. 아마 지금보다 더 많이 지불할 것이다. CTF 성적, CVE, Pwn2Own, Bug Bounty, 연구 결과는 좋은 기회를 만들어줄 것이다.

그 기회를 잡았으면 한다.

좋은 회사에 가고, 좋은 동료를 만나고, 세계대회에 나가고, 연구비를 지원받고, 하고 싶었던 연구를 마음껏 해봤으면 한다.

다만 회사가 여러분의 능력에 붙이는 가격과 여러분 스스로 정하는 성장의 끝을 같은 것으로 생각하지 않았으면 한다.

문제를 잘 푸는 것은 훌륭한 출발점이다.

하지만 누군가 문제가 있다고 알려주지 않아도 이상함을 알아보는 사람이 있고, 하나의 취약점 뒤에 숨어 있는 더 큰 구조를 보는 사람이 있다. 그리고 자신이 발견한 문제를 단순한 보고서로 남기는 것이 아니라, 다른 사람들이 이해하고 움직일 수 있는 형태까지 만들어주는 사람이 있다.

나는 시간이 갈수록 마지막 두 종류의 사람이 더 귀해질 것이라고 생각한다.

특히 AI가 문제를 푸는 비용을 낮추기 시작하면 더욱 그렇다.

그러니 CTF에서 flag를 얻는 순간을 즐겼으면 한다. 그건 분명 좋은 경험이고 실력을 키우는 강력한 방법이다. 그러나 언젠가는 아무도 flag를 숨겨놓지 않은 시스템으로 나와야 한다.

거기에서는 문제 이름도 없고, 점수도 없으며, 정말 문제가 존재하는지도 처음에는 알 수 없다.

그리고 어렵게 문제를 찾아냈다고 해서 누군가 바로 고쳐주는 것도 아니다.

어쩌면 그때부터가 진짜 해킹일지도 모른다.

20여 년 동안 우리는 해커 개인의 능력을 회사로, 팀으로, 더 큰 조직으로 옮기는 방법을 계속 발전시켜 왔다. 지금 CTF를 둘러싸고 나타나는 기업의 움직임도 그 연장선에 있다.

그 다음 세대가 보여줘야 할 것은 조금 다를 수 있다.

얼마나 어려운 문제를 풀었는지가 아니라, 아무도 문제라고 생각하지 않았던 것을 찾아내고 그것이 실제로 달라질 수 있는 방향까지 만들어낼 수 있는가.

세계 최고의 해커를 고용하면 보안 수준이 개선될까.

지금의 내 답은 이렇다.

좋은 해커는 분명 조직을 더 강하게 만든다. 그러나 개인의 공격 능력이 저절로 기업의 보안 능력이 되는 것은 아니다.

그리고 젊은 해커들에게 더 중요한 질문은 아마 이것일 것이다.

나는 세계 최고의 문제 해결자가 되는 데서 멈출 것인가. 아니면 아직 문제가 무엇인지조차 모르는 곳에서 문제를 발견하고, 그것을 해결할 수 있는 형태로 바꾸는 사람이 될 것인가.

참고자료