[토스페이먼츠] 보안 리서처 (Security Researcher) 공고 분석

이 자리가 왜 생겼을까요

1하게 될 업무

• 웹·API·소스코드·인프라(서버, 네트워크, DBMS, 클라우드, 보안 솔루션)를 대상으로 공격자 관점의 취약점 진단과 모의해킹을 수행합니다. 체크리스트 점검을 넘어 실제 공격 시나리오와 비즈니스 로직 취약점까지 깊이 파고듭니다.

  이렇게 볼 수 있어요

  토스 모의해킹 공고의 대상은 웹·모바일·API·내부 시스템이고, 이 공고의 대상에는 모바일이 없는 대신 소스코드와 클라우드, 보안 솔루션이 있습니다. 결제 서비스의 비즈니스 로직 취약점은 결제 금액 변조나 취소·환불 요청의 중복 처리처럼 스캐너로 찾기 어려운 유형이 많습니다. 체크리스트로는 나오지 않았던 취약점을 시나리오로 찾은 사례가 이 업무에 가깝습니다.

• LLM 기반 기능, AI 에이전트, 사내 AI 도구 등 새로 도입되는 AI 시스템의 보안성을 검증합니다. 프롬프트 인젝션, 도구 오남용, 데이터 유출 같은 AI 고유의 위협을 분석하고 대응 방안을 마련합니다.

  이렇게 볼 수 있어요

  토스 모의해킹 공고는 AI를 보안 평가 도구 개발과 신기술 점검 항목에 적었고, 이 공고는 AI 시스템 자체를 검증 대상으로 삼고 위협 세 가지를 이름으로 적었습니다. 프롬프트 인젝션은 입력으로 모델의 지시를 바꾸는 공격이고, 도구 오남용은 에이전트에 연결된 조회나 결제 같은 기능을 의도 밖으로 호출시키는 공격입니다. 어느 위협을 어떻게 재현했는지가 사례의 중심입니다.

• AI와 자동화를 활용해 진단 범위와 속도를 넓힙니다. 반복적인 점검은 자동화하고, LLM과 에이전트를 리서치 워크플로에 접목해 사람이 더 어려운 문제에 집중할 수 있는 구조를 만듭니다.

  이렇게 볼 수 있어요

  업무 첫 항목이 진단 대상을 웹, API, 소스코드, 인프라 전체로 잡고 체크리스트 점검을 넘는 시나리오 진단을 요구합니다. 이 항목의 자동화는 반복 점검을 도구에 맡기고 사람이 그 시나리오 진단에 시간을 쓰게 하는 장치입니다. 앞 항목이 AI를 공격 대상으로 삼는 일이라면 이 항목은 AI를 도구로 쓰는 일입니다. 이력서 안내가 '직접 만든 진단 도구나 자동화 스크립트'를 어떤 문제를 풀려고 만들었는지와 함께 알려 달라고 했으므로, 자동화로 줄인 점검 시간과 사람이 남아서 본 부분을 나눠 쓰면 이 항목이 말하는 분업을 해 본 경험이 보입니다.

• 전자금융기반시설 취약점 분석·평가, PCI-DSS·ISMS 인증 요구사항을 유지하고, 리서치에서 얻은 인사이트로 점검 기준을 고도화합니다.

  이렇게 볼 수 있어요

  전자금융기반시설 취약점 분석·평가는 금융회사와 전자금융업자가 정기적으로 실시해 보고하는 규제 점검이고, PCI-DSS와 ISMS는 인증 심사입니다. 이 업무가 세 가지를 함께 맡으므로 진단 결과를 점검과 심사의 증적으로 정리하는 일로도 이어질 수 있습니다. 규정 조항이나 인증 요구사항에 맞춰 진단 결과를 정리한 경험이 있다면 어떤 기준에 맞췄는지 쓰는 편이 좋습니다.

• 발견한 취약점이 실제로 조치될 때까지 개발·인프라 담당자와 함께 근본 원인을 분석하고, 같은 유형의 문제가 재발하지 않도록 개선합니다.

  이렇게 볼 수 있어요

  토스뱅크 Security Researcher 공고에도 발견한 취약점의 조치를 여러 팀과 함께 이행하는 업무가 있습니다. 근본 원인 분석과 재발 방지도 이 공고의 업무에 들어 있습니다. 발견한 건수보다 조치 완료까지 따라간 건수와 같은 유형이 다시 나왔는지를 쓰면 이 항목과 이어집니다.

2자격 요건

• 취약점 진단, 모의해킹, 취약점 리서치 등 공격 보안(Offensive Security) 분야에서 3년 이상의 경험이 있는 분이 필요합니다.

  이렇게 볼 수 있어요

  진단 경력과 모의해킹 경력, 리서치 경력은 이 조건에 함께 적을 수 있습니다. 토스 모의해킹 공고는 연차 없이 대규모 서비스나 MSA 환경이라는 환경 조건을 적었고, 이 공고는 연수 조건과 함께 환경 조건을 MSA와 REST API 요건으로 따로 적었습니다. 3년 경력 가운데 MSA·REST API 환경에서 진단한 대상을 함께 적으면 두 조건이 한 사례에서 보입니다.

• MSA 환경과 REST API 구조를 이해하고, 인증·인가와 비즈니스 로직 취약점을 직접 찾아낼 수 있는 분이 필요합니다.

  이렇게 볼 수 있어요

  토스페이먼츠는 가맹점에 결제 제품을 제공하는 회사라서 가맹점별 데이터를 다루는 API가 많습니다. 다른 가맹점의 결제 정보를 조회할 수 있는 인가 취약점이 대표 유형이고, 이런 취약점을 직접 찾아낸 사례를 인증과 인가로 나눠 쓰는 게 좋습니다.

• 기술적 발견을 개발자가 납득하고 움직일 수 있는 언어로 설명할 수 있는 분이 필요합니다.

  이렇게 볼 수 있어요

  토스 Security Researcher (모의해킹/취약점 분석) 공고는 비즈니스 임팩트 기반으로 리스크를 설명하는 능력을 적었고, 이 공고는 설명을 듣는 쪽이 개발자이고 목적이 조치입니다. 업무 마지막 항목이 조치될 때까지 개발·인프라 담당자와 근본 원인을 분석한다고 적었으므로, 취약점 설명에 재현 절차와 수정 방향이 있으면 개발자가 움직이기 쉽습니다. 영향 범위를 결제 금액이나 가맹점 수로 바꿔 설명해 개발자가 우선순위를 바꾼 경험이 있다면 보고에 쓴 표현과 그 뒤의 조치를 함께 밝힙니다.

• 스크립트나 도구를 직접 만들어 문제를 해결해 본 분이 필요합니다.

  이렇게 볼 수 있어요

  업무 첫 항목은 체크리스트 점검을 넘어 비즈니스 로직 취약점까지 진단하라고 적었습니다. 그래서 직접 만든 스크립트는 정해진 도구가 없는 점검을 자동화한 사례일 때 이 요건과 가깝습니다. 인증 상태를 유지한 채 요청 값을 바꿔 반복 전송하는 스크립트가 그런 예입니다. 이력서 안내는 GitHub 링크도 환영한다고 적었으므로 저장소나 공개한 도구는 어떤 문제를 풀려고 만들었는지와 함께 쓸 수 있습니다.

3우대 사항

• LLM·AI 에이전트 시스템을 대상으로 보안 테스트나 리서치를 해 본 경험

  이렇게 볼 수 있어요

  업무 둘째 항목이 프롬프트 인젝션, 도구 오남용, 데이터 유출을 이름으로 적었으므로 시험한 공격이 이 셋 가운데 무엇이었는지가 경험의 종류를 정합니다. 이력서 안내가 AI를 공격 대상으로 다뤘거나 리서치 도구로 활용해 본 경험을 '꼭 적어 주세요'라고 했습니다. 이 우대는 그 둘 가운데 AI를 공격 대상으로 다룬 경험입니다. 대상 시스템(챗봇, 에이전트, 사내 도구)과 공격 결과를 함께 쓸 수 있습니다.

• LLM이나 에이전트를 활용해 취약점 탐색·분석을 자동화해 본 경험

  이렇게 볼 수 있어요

  업무의 AI 활용 항목이 LLM과 에이전트를 리서치 워크플로에 접목해 사람이 더 어려운 문제에 집중하게 한다고 적었으므로, 이 우대는 그 워크플로를 만들어 본 경험입니다. LLM이 낸 취약점 후보에는 실제로 재현되지 않는 것이 섞이므로 어느 단계까지 자동으로 돌리고 어디부터 사람이 재현해 확인했는지가 경험의 질을 보여 줍니다.

• Kubernetes, AWS 등 클라우드 네이티브 환경의 보안 진단 경험

  이렇게 볼 수 있어요

  클라우드 보안을 맡는 토스 Security Engineer (클라우드 보안) 공고가 따로 있습니다. 클라우드는 이 공고에서 웹·API·소스코드와 함께 공격자 관점으로 진단하는 대상 가운데 하나입니다. Kubernetes나 AWS 환경에서 권한 설정이나 외부에 노출된 서비스를 공격 경로로 찾아낸 사례가 있다면 진단한 클러스터나 계정 환경의 규모와 함께 적습니다.

• CVE 등록, 버그바운티, CTF, 컨퍼런스 발표, 기술 블로그 등 외부에서 검증된 리서치 결과

  이렇게 볼 수 있어요

  팀 소개에 따르면 이 팀은 토스 계열사의 같은 직무 동료들과 리서치 결과와 노하우를 나눕니다. 토스피드 보도자료(2025년 11월 21일)는 보안 컨퍼런스 가디언즈 2025에서 토스·토스뱅크·토스증권·토스페이먼츠 등 주요 계열사의 보안 담당자 23명이 발표자로 나섰다고 밝혔습니다. 공개한 결과물은 링크와 날짜를 붙여 냅니다.

• 금융 결제 도메인에서 배포 파이프라인 및 반복적인 컨플라이언스 문제를 개선하기 위해 프로세스를 구축하여 운영해 본 경험

  이렇게 볼 수 있어요

  PCI-DSS와 ISMS는 점검 증적을 주기적으로 내야 하는 인증이라 같은 작업이 심사 때마다 반복됩니다. 업무에도 그 요구사항의 유지가 들어 있습니다. 배포 과정에 점검 증적이 자동으로 남도록 바꾼 일처럼 반복 작업을 프로세스로 줄인 사례라면 줄어든 작업량이 그 사례의 크기를 보여 줍니다.

• OSCP, OSWE, CISSP, 정보보안기사 등 관련 자격

  이렇게 볼 수 있어요

  OSCP는 침투 테스트 실기, OSWE는 웹 애플리케이션 소스코드 점검을 다루는 자격이고, CISSP와 정보보안기사는 보안 관리와 이론 지식을 폭넓게 다룹니다. 업무에 웹·API·소스코드 진단이 있어 OSWE의 내용과 이어지는 부분이 있습니다. 보유한 자격은 이름과 취득 연도에 더해 진단 업무에서 그 지식을 쓴 장면을 쓸 수 있습니다.

4기타 사항

• 게시일 : 2026년 10월 29일
• 고용형태 : 정규직
• 근무지 : 서울특별시 강남구 테헤란로 131, 14층 (역삼동, 한국지식재산센터) (추정)
• 경력 조건 : 경력 3년 이상
• 학력 조건 : 해당 내용은 원본 공고에서 확인되지 않습니다.

쓰는 기술

공고 본문에 적힌 기술만 모은 목록입니다.

• REST API
• Kubernetes
• AWS
• PCI-DSS
• ISMS

전형과 지원

토스커뮤니티는 합류 여정을 한 페이지로 공개해 두었습니다. 공통 골격은 같지만 계열사와 공고에 따라 단계가 더해지거나 빠지므로, 공고 페이지에 적힌 단계를 함께 확인해야 합니다.

지원 전 준비할 것

1. 1

   진단 사례를 대상, 접근, 발견, 조치 순서로 쓰기

   이력서 안내는 어떤 대상을 어떤 접근으로 분석해 무엇을 찾았고 어떻게 조치까지 이어졌는지 구체적인 사례로 쓰라고 했습니다. 사례 하나를 이 네 칸으로 나눠 정리합니다.

2. 2

   직접 만든 진단 도구의 동기와 개선 과정 정리하기

   직접 만든 진단 도구나 자동화 스크립트를 어떤 문제를 풀려고 만들었고 어떻게 개선했는지 알려 달라는 안내가 있습니다. GitHub 링크도 환영한다고 했으므로 저장소가 있다면 주소와 함께 준비하세요.

3. 3

   AI를 다룬 경험을 대상과 도구로 나눠 밝히기

   AI를 공격 대상으로 다뤘거나 리서치 도구로 활용한 경험은 꼭 적어 달라고 했습니다. 시험한 시스템과 공격 유형, 자동화에 쓴 방식과 사람이 직접 확인한 부분을 각각 한 문단으로 씁니다.

4. 4

   공개 결과물 링크 모으기

   CVE, 버그바운티, 발표, 블로그처럼 공개된 결과물이 있다면 링크를 함께 남겨 달라고 했습니다. 항목마다 날짜와 대상, 링크를 한 줄로 모읍니다.