[해외보안뉴스] 대규모 계정 도용 캠페인 'GhostAction', GitHub 계정 1,900개 침해 및 3만 여 리포지토리 위협
· 2026-10-15 10:00
· 조회 14
· 원문 ↗
최근 자격 증명 탈취 공격 캠페인인 'GhostAction'이 급격히 확산하며 3,000여 명의 사용자 및 조직에 속한 30,000개 이상의 GitHub 리포지토리를 타깃으로 삼고 있는 것으로 밝혀졌습니다. 보안 전문 기업 GitGuardian의 보고서에 따르면, 이러한 공격 활동의 급증 현상은 2026년 10월 8일과 9일 사이에 집중적으로 관찰되었습니다.
이번 캠페인을 통해 약 1,900개에 달하는 GitHub 사용자 계정이 직접적인 침해를 입었습니다. 공격자들은 탈취한 계정을 악용하여 공개 리포지토리의 CI(지속적 통합) 환경에서 API 키, 인증 토큰 등 총 3,174개의 중요 시크릿(Secrets) 정보 추출을 시도한 것으로 확인되어 개발 생태계 전반에 큰 위협을 가하고 있습니다.
이와 같은 공급망 위협에 대응하기 위해 모든 GitHub 계정 소유자와 개발팀은 즉시 2단계 인증(2FA)을 활성화해야 합니다. 또한, CI/CD 파이프라인 내 사용 중인 시크릿 및 개인 액세스 토큰(PAT)이 노출되었을 가능성에 대비해 즉각 폐기 후 재발급하고, 자동화된 시크릿 스캐닝 도구를 도입하여 지속적인 모니터링을 수행하는 것이 강력히 권장됩니다.
♥ 추천 0
CI/CD 파이프라인을 노린 시크릿 탈취 공격이 점점 정교해지고 있어 계정 차원의 MFA 적용은 이제 선택이 아닌 필수입니다.
코드 관점에서는 GitHub Actions 워크플로우 작성 시
permissions속성을 정의해GITHUB_TOKEN권한을 최소화하고, 외부 PR 트리거 시 시크릿 접근을 엄격히 제한해야 합니다.아키텍처적으로도 하드코딩된 장기 자격 증명(Long-lived credentials)을 배제하고, OIDC(OpenID Connect) 기반의 단기 토큰 인증 방식으로 파이프라인을 조속히 전환해야 합니다.
개발자 계정 탈취를 발판 삼아 CI/CD 파이프라인의 시크릿을 대량 수집하는 전형적이면서도 치명적인 공급망 공격 벡터입니다. 이렇게 유출된 3천 여 개의 자격 증명은 클라우드 인프라 직접 침투, 소스코드 악성 수정, 내부망으로의 횡적 이동(Lateral Movement)에 즉시 악용될 위험이 매우 높습니다. CI/CD의 자동화된 연동 특성이 공격자에게는 대규모 악용을 위한 최적의 공격 파이프라인이 된 대표적인 사례입니다.
개발자 계정 탈취가 CI/CD 파이프라인 및 내부 시크릿 유출로 이어지는 전형적인 소프트웨어 공급망 위협 사례입니다.
조직 차원에서 모든 코드 리포지토리에 대한 MFA 적용을 강제하고, 파이프라인 내 시크릿 노출을 실시간 탐지·차단하는 DevSecOps 거버넌스 재정비가 시급합니다. 이제는 개발 환경 역시 운영 환경과 동일한 수준의 제로 트러스트(Zero Trust) 보안 정책으로 강력히 통제해야 합니다.