이 자리가 왜 생겼을까요
토스 보안기술 리더 이종호 님은 2025년 3월 토스 커리어 아티클에서 토스가 보안을 제품 프로세스의 맨 앞 단계까지 당겨 오는 시프트 레프트 방식으로 제품을 개발하고, 버그바운티를 상시로 운영한다고 소개했습니다. 같은 글에서 그는 토스 환경에 맞춘 보안 도구와 솔루션을 개발하고 자동화된 대응 체계를 고도화하는 데 집중하고 있다고 밝혔습니다. 이 공고의 업무에도 서비스 구조를 분석하는 위협 모델링, 버그바운티 커뮤니티와의 협업, LLM/AI Agent 기반 보안 평가 도구 개발이 들어 있습니다. 공고는 2020년 7월에 게시됐고 분석 시점에도 올라와 있었습니다. 진단을 반복하는 데서 그치지 않고 진단을 자동화하는 도구를 직접 만들어 본 경험이 있다면 그 도구가 줄인 작업 시간을 숫자로 보여 줄 수 있습니다.
토스가 지금 어떤 사업에 집중하고 있는지는 토스 채용 분석에서 이어서 볼 수 있습니다.
1하게 될 업무
토스의 웹, 모바일, API, 내부 시스템 전반에 대한 취약점 진단과 모의해킹을 수행합니다.
이렇게 볼 수 있어요
진단 대상이 웹 하나가 아니라 모바일 앱과 API, 내부 시스템까지 넓습니다. 지금까지 다뤄 본 대상이 이 네 가지 가운데 어디에 몰려 있는지에 따라 준비할 부분이 달라집니다.
신규 서비스 출시 전 보안성 심의와 보안 평가로 잠재적인 리스크를 식별하고 대응 방안을 제안합니다.
이렇게 볼 수 있어요
출시 일정과 맞물려 판단을 내려야 하는 업무입니다. 출시 전 진단에서 리스크의 우선순위를 정해 제안해 본 경험이 있다면 출시 전에 고칠 것과 나중에 고칠 것을 나눈 기준이 이 업무와 바로 이어집니다.
서비스 구조와 비즈니스 흐름을 분석해 위협 모델링과 보안 설계를 수행합니다.
이렇게 볼 수 있어요
팀 소개도 서비스 기획 단계부터 위협 모델링과 보안 설계를 한다고 적었습니다. 코드보다 서비스 흐름을 먼저 보고 위협을 정리해 본 사례가 있다면 그 결과가 설계에 어떻게 반영됐는지까지 이어서 쓸 수 있습니다.
실제 공격 시나리오를 기반으로 취약 경로를 검증하고 조직의 방어 전략 수립에 기여합니다.
이렇게 볼 수 있어요
팀 소개는 실제 공격자의 TTP를 참고해 위협 시나리오를 설계하고 Blue Team과 함께 탐지·대응 역량을 높인다고 적었습니다. 공격 결과를 탐지 규칙이나 방어 체계 개선으로 넘겨 본 경험이 이 업무에 가깝습니다.
LLM/AI Agent 기반 보안 평가 도구를 개발하고 운영해 반복 업무를 자동화하고 분석 효율을 높입니다.
이렇게 볼 수 있어요
도구 개발이 업무로 명시돼 있어 코드를 직접 쓰는 일이 포함됩니다. 이력서 안내도 LLM이나 AI Agent로 보안 진단·분석·운영 업무를 자동화한 경험을 따로 요청했습니다.
외부 보안 연구자 및 버그바운티 커뮤니티와 협업해 새로운 취약점을 발굴하고 대응합니다.
이렇게 볼 수 있어요
내부 진단뿐 아니라 외부 제보를 받아 검증하는 일도 맡습니다. 버그바운티에 제보자로 참여했거나 제보를 받아 처리해 본 경험은 어느 쪽이든 이 업무에 쓰입니다.
AI, 블록체인 등 신기술의 취약점 점검과 보안검토, 보안 설계로 토스 서비스에 안전하게 적용될 수 있도록 기여합니다.
이렇게 볼 수 있어요
신기술 검토가 업무에 따로 한 항목으로 있습니다. AI나 블록체인을 쓰는 서비스의 보안성을 검토해 본 경험이 있다면 어떤 위협을 새로 정의했는지 밝혀 둘 만합니다.
2자격 요건
대규모 서비스 혹은 MSA 환경에서 보안성 검토, 취약점 진단, 모의해킹을 해 본 사람이 필요합니다.
이렇게 볼 수 있어요
환경 조건이 붙은 요건입니다. '대규모 서비스'나 'MSA 환경'은 이름만으로는 크기를 알 수 없어서, 서비스 규모나 마이크로서비스 수 같은 숫자가 필요합니다.
공격자의 관점에서 사고하며 비즈니스 임팩트를 기준으로 리스크를 설명할 수 있는 사람과 함께하고 싶다고 적었습니다.
이렇게 볼 수 있어요
취약점의 기술적 심각도만이 아니라 서비스에 생길 피해로 말하라는 요구입니다. 보고서에서 리스크를 영향받는 사용자 범위나 금전 피해로 표현해 본 사례를 적으면 비즈니스 임팩트로 설명하는 습관이 보입니다.
단순히 취약점을 발견하는 것을 넘어 가장 효과적인 해결 방안을 제안할 수 있는 사람을 찾습니다.
이렇게 볼 수 있어요
팀 소개가 말한 Advisor 역할과 같은 방향입니다. 발견한 취약점을 두고 개발 조직과 수정 방안을 정하고 적용까지 확인한 경험을 한 건 골라, 처음 제안한 방안과 실제 적용된 방안이 어떻게 달랐는지까지 적어 두세요.
새로운 기술과 공격 기법에 대한 호기심이 많고 빠르게 학습하는 사람을 찾습니다.
이렇게 볼 수 있어요
업무의 신기술 점검과 이어지는 요건입니다. 최근 공부한 공격 기법을 실제 진단에 적용한 사례가 있다면 학습에서 적용까지 걸린 기간과 같이 쓸 수 있습니다.
높은 윤리 의식과 책임감을 바탕으로 동료들과 함께 성장할 사람을 원한다고 적었습니다.
이렇게 볼 수 있어요
공격 기술을 다루는 직무라 윤리 의식이 요건에 들어 있습니다. 취약점을 발견했을 때 보고와 공개 절차를 어떻게 지켰는지 적으면 윤리 의식이 구체적인 행동으로 전해집니다.
4기타 사항
- 게시일 : 2020년 7월 1일
- 고용형태 : 정규직
- 근무지 : 서울특별시 강남구 테헤란로 142 (역삼동, 아크플레이스) (추정)
- 경력 조건 : 해당 내용은 원본 공고에서 확인되지 않습니다.
- 학력 조건 : 해당 내용은 원본 공고에서 확인되지 않습니다.
쓰는 기술
공고 본문에 적힌 기술만 모은 목록입니다.
- Web Hacking
- Mobile Hacking
- API Security
- Threat Modeling
- Red Teaming
- Security Assessment
- Reverse Engineering
- Cloud Security
- Network Security
- Crypto
- AI/LLM Security
전형과 지원
토스커뮤니티는 합류 여정을 한 페이지로 공개해 두었습니다. 공통 골격은 같지만 계열사와 공고에 따라 단계가 더해지거나 빠지므로, 공고 페이지에 적힌 단계를 함께 확인해야 합니다.
기본 다섯 단계
지원서 접수, 직무 인터뷰, 문화적합성 인터뷰, 레퍼런스 체크, 처우 협의와 합류 결정 순입니다. 안내에는 '포지션에 따라 사전 과제 / 전화 인터뷰 등의 전형이 추가될 수 있어요'라고 적혀 있습니다.
이렇게 볼 수 있어요
공고마다 앞 단계가 다르므로 일정을 잡을 때 공고 페이지를 먼저 봐야 합니다. 같은 계열사 안에서도 사전 과제가 붙은 공고와 없는 공고가 섞여 있습니다. 토스뱅크 Customer Success Specialist(계약직)와 토스 Financial Data Analyst (FP&A) 공고는 레퍼런스 체크와 처우 협의 없이 문화적합성 인터뷰 뒤 바로 최종 합격으로 갑니다. 둘 중 하나만 빠진 공고도 있습니다. Category MD (신선식품 Unit Leader - 과일, 채소), Category MD (뷰티), Category MD (가공식품), Search Quality Operations Manager 공고는 처우 협의가 레퍼런스 체크보다 먼저 옵니다.
문화적합성 인터뷰가 따로 있다
'인터뷰어는 토스의 핵심가치를 누구보다 잘 이해하고 있는 동료들로 구성되어 있어요'라고 적혀 있고, '지원자를 검증하기 위해 일방적으로 질문을 던지는 것이 아니라, 토스커뮤니티 문화에 대해 서로 진솔한 대화를 나누는 방식으로 진행해요'라고 설명합니다.
이렇게 볼 수 있어요
직무 경험만 준비하면 한 단계를 비워 두게 됩니다. 핵심가치 네 가지에 각각 대응하는 본인 사례를 미리 한 개씩 정리해 두면 이 단계에서 꺼낼 것이 생깁니다.
인터뷰는 전부 온라인이다
'모든 인터뷰는 온라인(Google Meet/ Zoom)으로 진행하고 있어요'라고 적혀 있고 '최대한 1:1 커뮤니케이션을 지향'한다고 밝혔습니다. 인터뷰어는 '합류하신다면 가장 많은 협업을 하게 되실 동료들'입니다.
이렇게 볼 수 있어요
이동 시간이 들지 않아 재직 중에도 일정을 잡기 쉽습니다. 안내가 조용한 개인 공간과 이어폰 사용을 권하고 있으므로 환경을 미리 확인해 두는 편이 좋습니다.
지원서는 자유 양식이다
'지원자분의 역량을 최우선적으로 검토하기 위해 자유 양식의 지원서를 받고 있어요'라고 적혀 있습니다. 개발 직군은 '기술 숙련도를 파악하기 위해 이력서 상에 기술 스택을 꼭 작성해 주세요'라는 요구가 따로 붙습니다.
이렇게 볼 수 있어요
정해진 문항이 없으므로 무엇을 보여 줄지 직접 정해야 합니다. 안내는 경험을 나열하기보다 '임팩트와 러닝 포인트'를 적으라고 했고, 주민등록번호와 자택 주소, 연봉은 필수가 아니라고 밝혔습니다. 제출은 PDF를 권합니다.
계열사 간 중복 지원이 된다
'원하는 포지션이라면 계열사 간 중복 지원도 가능해요'라고 적혀 있습니다. 토스, 토스뱅크, 토스페이먼츠, 토스인슈어런스, 토스증권, 토스씨엑스 등이 함께 열거돼 있습니다.
이렇게 볼 수 있어요
같은 직무를 여러 계열사가 채용하고 있을 때 하나만 고를 필요가 없습니다. 다만 계열사마다 도메인이 다르므로 지원서의 강조점은 각각 맞추는 편이 낫습니다.
지원 전 준비할 것
- 1
공격 도구와 자동화 경험 먼저 쓰기
이력서 안내는 Exploit, PoC 개발, 공격 도구 제작, 자동화 스크립트 개발 경험과 LLM 또는 AI Agent로 보안 진단·분석·운영을 자동화한 경험을 적어 달라고 했습니다. 도구마다 무엇을 자동화했고 어떤 취약점을 찾았는지 한 줄씩 붙여 두세요.
- 2
위협 모델링과 Red Teaming 경험 정리하기
Threat Modeling, Red Teaming, Purple Team Exercise를 직접 설계하거나 리드한 경험과 Cloud, AI, LLM, Agent 같은 최신 기술의 보안성 검토·연구 경험도 요청했습니다. 시나리오를 어떻게 설계했고 결과가 방어 체계에 어떻게 반영됐는지를 순서대로 정리하면 업무와 바로 이어집니다.
- 3
CTF·버그바운티·CVE와 커뮤니티 기여 모아 두기
국내외 해킹대회(CTF) 수상, 버그바운티, CVE 발급 경험과 보안 컨퍼런스 발표, 오픈소스 공개, 기술 블로그 운영 같은 커뮤니티 기여도 적어 달라고 했습니다. 대회 이름과 연도, CVE 번호, 발표 링크처럼 확인할 수 있는 정보로 남기는 게 좋습니다.