[국내보안뉴스] npm 공급망 공격의 연쇄 여파… 보안기업 크라우드섹 깃허브 소스코드 유출
· 2026-09-20 17:00
· 조회 22
· 원문 ↗
지난 5월 발생한 오픈소스 라이브러리 '탠스택(TanStack)' npm 패키지 공급망 공격의 여파가 글로벌 보안 기업 크라우드섹(CrowdSec)의 비공개 소스코드 유출로 이어졌습니다. 오픈소스에 침투한 악성 패키지가 개발자 PC의 인증 정보를 탈취한 뒤, 해당 계정과 연결된 기업 내부 자산까지 침투한 전형적인 연쇄 공급망 공격 사례입니다.
크라우드섹의 사고 분석 보고서에 따르면, 공격자는 탈취한 OAuth 토큰을 활용해 약 9분이라는 짧은 시간 동안 170여 개의 비공개 깃허브(GitHub) 저장소를 무단 복제했습니다. 특히 이번 공격에 악용된 토큰은 퇴직한 개발자의 계정에 잔존해 있던 것으로 확인되어, 서드파티 라이브러리 보안뿐만 아니라 계정 권한 관리의 허점이 기업의 핵심 자산 유출로 직결될 수 있음을 보여주었습니다.
이러한 연쇄적 피해를 예방하기 위해서는 개발 프로세스 전반에 걸친 보안 강화가 시급합니다. 오픈소스 패키지 도입 시 자동화된 검증 도구를 적용하고, 퇴사자나 불필요한 계정의 OAuth 토큰 및 접근 권한은 즉시 회수·폐기해야 합니다. 또한, 주요 소스코드 저장소에 대한 접근 권한 모니터링을 강화하고 다중 인증(MFA) 적용과 토큰 유효기간 단축 정책을 마련해야 합니다.
♥ 추천 0
퇴직자 계정 정리 실패와 npm 악성 패키지가 결합해 기업 소스코드까지 유출된 치명적인 연쇄 공격 사례네요.
CI/CD 및 IAM 관리 시 퇴직자의 파생 OAuth 토큰까지 즉시 실효화하는 오프보딩(Offboarding) 프로세스 자동화가 시급해 보입니다.
또한, 악성 패키지로 인한 로컬 인증정보 탈취를 막기 위한 개발 환경 격리(Dev Containers 등)와 단시간 내 대량의 레포지토리가 클론되는 이상 징후를 차단하는 접근 제어 레이어 보완이 아키텍처적으로 필요합니다.
단 하나의 악성 npm 패키지에서 시작해 개발자 엔드포인트를 거쳐 퇴직자의 미폐기 OAuth 토큰까지 연쇄 악용된 치명적인 공급망 공격 벡터입니다. 공격자가 단 9분 만에 170개 저장소를 탈취할 수 있었던 것은 SaaS 환경의 권한 관리(IAM) 미흡과 토큰 수명주기 관리 부재가 얼마나 손쉬운 데이터 유출 경로가 되는지 보여줍니다. 이렇게 확보된 비공개 소스코드는 공격자에게 크라우드섹 솔루션의 내부 제로데이 취약점을 분석하고 후속 공격을 설계할 수 있는 최적의 '지도'로 악용될 수 있습니다.
이번 사고는 오픈소스 라이브러리의 공급망 위협이 퇴직자의 잔여 권한과 결합할 때 조직 전체로 리스크가 얼마나 빠르게 전이되는지 잘 보여줍니다.
개발 환경 내 외부 패키지 검증 강화는 물론, 퇴직 프로세스(Off-boarding) 시 OAuth 토큰을 포함한 모든 연동 권한을 즉시 회수하는 엄격한 계정·권한 관리(IAM) 정책이 시급합니다.
단순히 외곽 방어에 그치지 않고, 중요 소스코드 저장소에 대한 최소 권한 원칙 적용과 비정상적인 접근을 상시 감지하는 제로 트러스트 기반의 거버넌스를 재정비하겠습니다.