기획 단계부터 위협 싹 자르는 ‘시프트 레프트’ 전략…보안 취약점 조치 기간 ‘반토막’
“AI가 키운 위협, AI로 잡는다”…취약점 스스로 고치는 ‘코드쉴드 AI’ 내부 적용 확대
데프콘 33 본선 진출·삼성 및 현대차와 기술 교류…국내외 최고 수준 방어력 입증

네이버 시큐리티 팀의 주요 역할. <출처=네이버 보안백서>

네이버가 서비스 기획 단계부터 선제적으로 위협을 차단하는 진화된 방어 체계를 구축하며 보안 역량 강화에 총력을 기울이고 있다. AI 기술 발전으로 한층 정교해진 사이버 공격에 맞서 자체 탐지 기술을 고도화하고 국내외 보안 공조를 대폭 확대하는 등 미래 혁신의 성패를 가를 핵심 경쟁력으로 ‘보안’을 정조준하고 나섰다.

6일 ‘2025 네이버 보안백서’에 따르면, 네이버가 내세우는 핵심 전략은 보안 점검 시점을 배포 직전이 아닌 서비스 기획·설계 단계로 앞당기는 이른바 ‘시프트 레프트(Shift Left)’다. 

실제로 기획 단계에서 보안 리뷰를 요청하는 건수가 2021년 대비 319% 이상 급증했으며, 외부 보안 전문가들이 취약점을 신고하는 버그바운티 프로그램의 유효 제보 건수는 최근 5년간 56% 이상 감소했다. 보안 취약점 평균 조치 기간도 2021년 47.5일에서 2025년 25일로 크게 단축됐다. 치지직, 웨일 브라우저 등 신규 서비스가 버그바운티 대상에 추가됐음에도 전반적인 보안 지표가 개선된 것이어서 의미가 크다는 평가다.

이용자 보호를 위한 자체 기술 투자도 눈에 띈다. 네이버는 피싱 탐지 시스템(NAPS)을 자체 개발해 운영 중이며, 2025년 한 해 2000만 건 이상의 피싱을 차단했다. 글로벌 유출 계정 정보가 네이버 서비스에 무단으로 사용되는 것을 막는 ‘패스워드 버스터(Password Buster)’는 약 40만건의 계정 도용 시도를 사전에 차단하고, 4만3000여 개 계정을 보호 조치했다. 어뷰징 탐지 유형도 2023년 46개에서 2025년 132개로 확대하며 월평균 300만 건 이상의 이상 행위를 모니터링하고 있다.

지난해 네이버의 ‘버그바운티’ 관련 주요 지표. 치지직, 웨일 등 신규 서비스가 버그바운티 대상으로 추가됐음에도 제보 건수와 조치 기간이 대폭 줄었다. <출처=네이버 보안백서>

개발 환경의 보안 가시성 확보에도 공을 들였다. 서비스 전반의 보안 현황을 실시간으로 파악할 수 있는 ‘시큐리티 리포트(Security Report)’ 플랫폼을 새롭게 구축했으며, 소스코드와 내부 문서에 비밀 키나 DB 접속 정보 등이 노출되는 것을 자동으로 탐지하는 ‘인터널 시크릿 디텍터(Internal Secret Detector)’도 운영에 들어갔다. AI가 생성한 코드의 취약점을 스스로 판별하고 수정 코드까지 제안하는 ‘코드쉴드 AI(Codeshield AI)’도 내부 적용을 확대하고 있다.

대외 협력도 강화했다. 네이버는 글로벌 피싱 대응 협의체 APWG로부터 올해 초 공식 ‘Accredited Reporter’ 자격을 취득해 국제 보안 공조 체계에 이름을 올렸으며, 세계 최대 해킹 방어대회 ‘DEFCON 33’에도 참가해 약 200개 예선 참가 팀 중 8위로 본선에 진출했다. 삼성전자, 현대자동차와는 연 2회 보안 기술 교류회를 열어 AI 보안, 인증 전략 등을 공유하고 있다.

아울러 네이버는 국내에 진출한 스타트업을 위한 지원도 확대했다. 프라이버시센터에 글로벌 개인정보 보호 동향을 매달 소개하는 카테고리를 신설하고, 중국·일본 등 주요국의 개인정보 처리방침 작성 가이드라인도 추가 제공하기로 했다. ISO/IEC 27001, ISMS-P 등 국내외 정보보호 인증도 매년 갱신하며 외부 검증을 이어가고 있다.

이진규 네이버 CISO는 “AI가 개발 속도를 높이는 만큼 위협도 정교해지고 있다”며 “보안은 혁신을 가로막는 장애물이 아니라 혁신을 지속 가능하게 만드는 경쟁력”이라고 강조했다.

[CEO스코어데일리 / 김동일 기자 / same91@ceoscore.co.kr]