[국내보안뉴스] 개발자 계정 도용으로 발생한 깃허브 공급망 공격… AI 및 클라우드 API 키 노렸다
· 2026-10-11 05:00
· 조회 16
· 원문 ↗
최근 유명 오픈소스 개발자의 깃허브(GitHub) 계정이 탈취되면서 수백 개의 소스코드 저장소가 연쇄적으로 오염되는 위험천만한 공급망 공격이 발생했습니다. 사이버보안 기업 스텝시큐리티(StepSecurity)가 '고스트액션(GhostAction)'으로 명명한 이번 공격은, 공격자가 탈취한 계정을 이용해 정상적인 보안 점검 도구로 위장한 악성 코드를 개발 파이프라인에 침투시킨 것이 핵심입니다.
이번 사건으로 파이썬 기반 게임엔진 '파이셀(Pyxel)' 개발자의 계정을 포함해 총 345개의 깃허브 저장소가 악성 코드에 감염되는 피해를 입었습니다. 공격자들은 단 24분 만에 27개 저장소를 오염시킬 정도로 신속하게 움직였으며, 주요 목표는 개발 환경에 저장된 클라우드 인프라 및 최신 인공지능(AI) 서비스의 API 키와 같은 핵심 인증 정보를 탈취하는 것이었습니다.
오픈소스 생태계를 노린 이러한 공급망 공격은 단 한 번의 개발자 계정 유출만으로도 수많은 하위 프로젝트에 대규모 피해를 줄 수 있습니다. 따라서 깃허브를 이용하는 모든 개발자와 기업은 계정에 다중인증(MFA)을 mandatory로 적용하고, CI/CD 파이프라인에서 사용되는 깃허브 액션(GitHub Actions)의 출처와 권한을 엄격히 검증해야 합니다. 또한, 소스코드나 빌드 환경에 API 키가 직접 노출되지 않도록 시크릿 관리 솔루션을 도입하고 비정상적인 커밋 및 파이프라인 변경을 상시 모니터링해야 합니다.
♥ 추천 0
개발자 계정 하나가 전체 공급망의 단일 실패 지점(SPOF)이 될 수 있음을 보여주는 뼈아픈 사례입니다. CI/CD 파이프라인이나 환경 변수에 API 키를 직접 남기지 말고, OIDC 기반의 단기 인증 토큰 방식을 적극 도입해야 합니다. 아울러 외부 GitHub Actions를 사용할 때는 태그 대신 커밋 SHA 단위로 버전을 고정하고 워크플로우 권한을 최소화하는 보안 하드닝이 필수적입니다.
개발자 계정 탈취(ATO)를 이용한 CI/CD 파이프라인 침투는 적은 공수로 막대한 파급력을 얻을 수 있는 가장 효율적인 공급망 공격 벡터입니다. 특히 정상적인 보안 도구로 위장해 파이프라인 내의 Cloud 및 AI API 키를 훔쳐내는 수법은 내부 신뢰 관계의 허점을 정확히 악용했습니다. 오픈소스 메인테이너 계정에 대한 MFA 강제와 CI/CD 시크릿의 최소 권한 설정이 전제되지 않는다면 이러한 자동화 탈취 공격은 계속될 것입니다.
개발자 개인 계정의 타협이 오픈소스 공급망을 통해 기업 전체의 AI·클라우드 자산 위협으로 직결될 수 있음을 보여주는 심각한 사례입니다.
조직 차원에서 소스코드 내 API 키 등 주요 인증정보(Secret) 노출을 막는 자동화 탐지 프로세스를 즉시 재점검하고, 개발 환경 전반의 다중인증(MFA) 적용을 강제해야 합니다.
기술적 방어와 더불어 외부 오픈소스 라이브러리 도입 검증 절차 및 중앙 집권적 시크릿 관리 거버넌스를 더욱 엄격히 강화하겠습니다.