해커를 헤매게 한다…'움직이는 K-보안기술'에 日·인니도 러브콜

[이 기사에 나온 스타트업에 대한 보다 다양한 기업정보는 유니콘팩토리 빅데이터 플랫폼 '데이터랩'에서 볼 수 있습니다.]

해커가 아무리 복잡한 보안 코드를 마주하더라도 충분한 시간이 주어지면 언젠가는 분석할 수 있다. 그렇다면 해커가 분석을 끝내기 전에 코드 자체를 바꿔버리면 어떨까.

AI(인공지능) 기반 사이버보안 기업 '에버스핀'은 이 같은 발상의 전환에서 출발했다. 고정된 성벽을 높이는 대신 성벽의 구조를 끊임없이 바꾸는 'MTD'(Moving Target Defense·이동표적방어) 기술로 웹과 모바일 앱을 보호하는 방식이다.

하영빈 에버스핀 대표는 "해커에게 날마다 새로운 미로를 제공하는 것처럼 보안 코드도 계속 바뀌게 만들면 전날의 분석 결과가 다음 날에는 무용지물이 된다"며 "복잡하지만 움직이지 않는 보안보다 지속적으로 변화하는 보안이 더 안전하다고 판단했다"고 말했다.

2014년 설립된 에버스핀은 해킹 방지 솔루션 '에버세이프', 피싱 방지 솔루션 '페이크파인더', 명의도용 방지 솔루션 '아이디펜더' 등을 운영하고 있다. 국내 금융권에서 쌓은 레퍼런스를 바탕으로 일본과 인도네시아 시장까지 사업 영역을 넓혔다.

실적도 성장궤도에 올랐다. 지난해 매출은 134억원, 영업이익 약 49억원을 기록했다. 영업이익률은 2024년 6.3%에서 지난해 36.3%로 뛰었다. 올해는 연간 매출 200억원 돌파를 내다보고 있다.

에버스핀이 보호하는 영역은 기업 내부망이나 임직원 PC가 아니다. 고객에게 직접 노출되는 웹과 모바일 앱, 즉 '서비스 채널'이다. 웹·앱 위변조와 세션 탈취, 무단 스크래핑, 매크로, 악성 앱을 이용한 피싱 등이 주요 방어 대상이다.

대표 솔루션인 에버세이프는 AI-MTD 기술을 이용해 보안 모듈을 계속 변화시킨다. 정적인 보안 코드는 해커가 분석할 수 있지만, 보안 모듈의 형태와 배치가 지속적으로 바뀌면 공격자는 분석을 반복할 수밖에 없다.

최근 AI가 대규모 봇을 생성해 취약한 웹사이트를 무차별적으로 탐색·공격하는 사례가 늘고 있는 가운데, 에버세이프는 위·변조나 세션 탈취뿐만 아니라 스크래핑·매크로 등 자동화된 공격에도 대응한다.

피싱 방지 솔루션 페이크파인더는 기존 블랙리스트와 반대되는 접근법을 쓴다. 블랙리스트 방식이 이미 사고를 일으킨 악성 앱을 DB(데이터베이스)에 등록해 차단한다면 페이크파인더는 정상 앱을 기준으로 변조되거나 위조된 앱을 가려낸다.

이 방식의 경쟁력은 DB에서 나온다. 페이크파인더는 전 세계에서 정상적으로 출시된 앱 2200만개 이상을 수집·DB화해 정상 앱을 위장한 가짜 앱, 정상 앱을 변조한 앱, 악용된 원격제어 앱 등을 판별한다.

하 대표는 "악성 앱은 형태를 조금만 바꿔 다시 배포하면 블랙리스트를 우회할 수 있지만 정상 앱의 원형을 기준으로 삼으면 새롭게 등장한 위조 앱도 찾아낼 수 있다"며 "B2C 환경에서 화이트리스트를 구현하려면 방대한 정상 앱 DB를 계속 수집하고 관리해야 한다"고 했다.

에버스핀의 모든 제품은 연간 구독형 라이선스로 공급된다. 솔루션을 한 번 판매한 뒤 계약 금액의 8~10% 수준인 유지보수료만 받는 기존 보안업계의 방식을 택하지 않았다.

하 대표는 "일회성 매출 중심의 구조에서는 매년 새로운 고객을 확보해야만 기존 매출을 유지할 수 있다"며 "무리한 저가 수주가 반복되면 R&D(연구개발) 여력이 줄어들고, 기술 경쟁력이 다시 약해지는 악순환에 빠질 수 있다"고 지적했다.

이어 "보안은 제품을 설치하는 순간 끝나는 사업이 아니다. 공격 방식과 IT 환경이 계속 바뀌기 때문에 매년 새로운 기술을 제공해야 한다"며 "고객이 매년 기술의 가치를 평가하고 다시 선택하는 구조를 처음부터 만들었다"고 덧붙였다.

시장 진입 전략도 일반적인 보안기업과 다르다. 중소 고객사를 확보한 뒤 대형 고객사로 올라가지 않고 처음부터 국내 상위 금융사를 공략했다. 금융사는 보안 솔루션을 도입하기 위한 검증이 까다롭지만 최상위 금융사의 검증을 통과하면 그 자체가 강력한 레퍼런스가 된다.

하 대표는 "시장의 200등부터 시작해서 올라갈 필요가 없다고 생각했다"며 "기존 제품보다 기술적으로 우위에 있다는 자신이 있었기 때문에 처음부터 톱10 금융사를 두드렸다. 최고 수준의 고객이 인정하면 그다음 시장은 자연스럽게 열린다"고 했다.

한국에서 검증한 방식은 일본과 인도네시아에도 적용됐다. 일본에서는 SBI홀딩스와 세운 합작법인 SBI에버스핀을 통해 약 70개 고객사를 확보했다. 인도네시아에서는 자고은행, 만디리은행, DKI은행을 비롯해 BNI증권과 수무트은행 등에 에버세이프와 페이크파인더를 공급했다.

지난해 해외 매출은 52억4700만원으로 전년 대비 3.8배 증가했고, 전체 매출에서 해외가 차지하는 비중은 39.1%까지 높아졌다. 하 대표는 "매출의 양과 함께 질도 높이고 있다"며 "한국과 일본에서 증명한 방식을 인도네시아에서 다시 만들고 있다"고 말했다.

에버스핀의 다음 시장은 AI 자체의 안전성과 신뢰를 검증하는 영역이다. 생성형 AI와 AI 에이전트가 확산하면서 프롬프트 인젝션, 권한 오남용, 데이터 유출 등 기존 정보보안과 다른 위협이 등장하고 있기 때문이다.

현재 AI 안전성 기업 티냅스와 AI 레드티밍·신뢰성 검증 분야에서 협력하고 있다. 웹·앱 해킹과 피싱 방지를 넘어 AI 시스템의 설계부터 운영 단계까지 안전성을 점검하는 사업으로 포트폴리오를 확장한다는 구상이다.

최근에는 KB국민카드·SBI홀딩스와 AI 에이전트의 신원과 위임 권한을 검증하는 'KYA(Know Your Agent) 트러스트 게이트웨이' 실증에도 나섰다. 이용자를 대신해 예약·결제를 수행하는 AI가 누구에게 어떤 권한을 위임받았고, 어느 범위까지 거래할 수 있는지 확인하는 기술이다.

한편 에버스핀은 코스닥 상장을 다시 추진 중이다. 2021년 첫 IPO(기업공개) 도전 당시 매출은 6억원 수준이었다. 기술력은 인정받았지만 실제 시장 확장성과 이익창출 능력을 입증하기에는 부족했다. 만족스럽지 않은 조건으로 상장을 강행하는 대신 철회를 선택했다.

이번에는 기술특례가 아닌 일반상장 트랙을 택했다. 안정적인 이익과 구독형 매출, 해외 사업의 성장성을 바탕으로 기업가치를 평가받겠다는 전략이다.

하 대표는 "이미 외부 투자 없이 사업을 이어갈 수 있는 재무구조를 갖춘 만큼 상장을 글로벌 시장에서의 신뢰도와 파트너십을 높이는 수단으로 활용하겠다"며 "IPO 자금은 해외시장 확대와 신규 R&D, 기술기업 M&A(인수합병)에 투입할 것"이라고 말했다.

그러면서 "한국에서 시작했지만 MTD와 화이트리스트 기술로 전세계 보안시장에 진입한 파이오니어가 될 것"이라며 "누군가 만들어놓은 시장에서 경쟁하는 것을 넘어 우리가 시장을 만들고 다른 기업들이 그 안에서 뛰어놀 수 있는 새로운 기준점을 세우겠다"고 강조했다.

[머니투데이 스타트업 미디어 플랫폼 '유니콘팩토리']