[해외보안뉴스] 유명 오픈소스 개발자 계정을 악용한 GitHub Actions 자격 증명 탈취 공격 발생
· 2026-10-09 21:00
· 조회 16
· 원문 ↗
보안 연구원들이 유명 오픈소스 프로젝트 유지관리자(Maintainer)의 계정을 탈취하여 악성 GitHub Actions 워크플로우를 주입하는 대규모 자격 증명 탈취 캠페인을 발견했습니다. 공격자들은 주요 개발자의 계정을 하이재킹한 뒤, 이를 이용해 자동화된 빌드 및 배포 파이프라인에 악성 코드를 주입하는 방식을 취하고 있습니다.
이번 공격에서는 18,400개 이상의 스타를 받은 인기 게임 엔진 'pyxel'의 제작자인 Takashi Kitao의 계정이 악용된 것으로 확인되었습니다. 공격자는 해당 계정을 통해 13:20 UTC부터 최소 27개 리포지토리에 악성 워크플로우를 푸시했으며, 현재까지 총 340개 이상의 주요 리포지토리가 직접적인 피해를 입은 것으로 나타났습니다.
이러한 악성 워크플로우는 파이프라인 실행 시 GitHub Secrets에 저장된 API 키, 인증 토큰, SSH 키 등의 민감한 자격 증명을 외부 서버로 탈취하도록 설계되었습니다. CI/CD 환경이 오염될 경우 유출된 자격 증명을 통해 2차 공급망 공격(Supply Chain Attack)으로 이어질 위험이 매우 높습니다.
오픈소스 관리자와 개발자는 계정 보안 강화를 위해 즉시 다중 요소 인증(MFA)을 활성화하고 개인 액세스 토큰(PAT)을 재발급해야 합니다. 또한, 소유한 리포지토리의 .github/workflows 경로에 무단 수정이나 의심스러운 작업이 없는지 전수 점검하고, 유출 가능성이 있는 파이프라인 내 모든 시크릿 및 인증 키를 즉시 폐기하고 교체할 것이 권장됩니다.
메인테이너 계정 탈취가 CI/CD 파이프라인 침투로 이어지는 전형적인 공급망(Supply Chain) 공격 사례입니다.
계정 자체의 MFA 강제도 중요하지만,
.github/workflows/디렉터리의 변경사항은 메인테이너라 할지라도 무조건 별도 승인을 거치도록 브랜치 보호 규칙(Branch Protection Rules)을 강화해야 합니다.아울러 워크플로우에 부여되는
GITHUB_TOKEN권한을 최소화(permissions: read-all)하고 시크릿 사용 범위를 제한하는 최소 권한 아키텍처 적용이 시급합니다.메인테이너 계정 탈취를 시작으로 GitHub Actions의 자동화 파이프라인을 악용해 수백 개 레포지토리의 시크릿(Secrets)을 순식간에 수집하는 효율적인 공급망 공격입니다. 워크플로우 실행 과정에서 탈취된 자격 증명은 소스코드 변조는 물론, 연계된 클라우드 인프라로의 수평 이동(Lateral Movement)까지 가능하게 만드는 치명적인 벡터입니다. 개발자 계정의 MFA 적용을 넘어 CI/CD 파이프라인 내 시크릿 접근 권한을 엄격히 격리하지 않으면, 파이프라인 전체가 공격자의 자동화된 자격 증명 수집기로 전락할 수 있습니다.
오픈소스 유지관리자 계정을 겨냥한 CI/CD 파이프라인 오염은 기업의 소프트웨어 공급망 전체를 위협하는 치명적인 리스크입니다. 당사는 사내 파이프라인에서 참조하는 외부 GitHub Actions의 무결성을 즉시 점검하고, 파이프라인 내 자격 증명(Secrets)에 대한 최소 권한 원칙을 철저히 적용해야 합니다. 개발 편의성에 가려지기 쉬운 제3자(Third-party) 공급망 위협에 대응해, CI/CD 보안 정책과 상시 모니터링 거버넌스를 한층 강화하겠습니다.