[해외보안뉴스] OVHcloud CLI GitHub 계정 탈취로 기밀 정보 유출 악성코드 유포
· 2026-10-20 10:00
· 조회 11
· 원문 ↗
글로벌 클라우드 서비스 제공업체인 OVHcloud의 커맨드라인 툴(CLI) GitHub 기여자 계정이 피싱 또는 자격 증명 탈취로 인해 해킹당하는 사건이 발생했습니다. 공격자는 해당 계정을 악용하여 GitHub에 이미 게시되어 있던 5개의 OVHcloud CLI 릴리스 다운로드 아카이브를 악성 바이너리로 무단 교체했습니다.
이번 악성 패키지는 10월 19일 월요일 12:47부터 14:21(UTC)까지 약 94분 동안 GitHub에 노출되었습니다. 유포된 악성 파일은 해당 CLI 도구를 실행하는 모든 시스템의 디스크에 저장된 API 키, 자격 증명, 액세스 토큰 등 주요 기밀 정보(Secrets)를 탐색하고 외부로 탈취하도록 설계되었습니다. 해당 시간 동안 CLI를 다운로드하거나 자동화 파이프라인에서 실행한 사용자가 직접적인 영향 범위에 포함됩니다.
OVHcloud는 해당 침해 사실을 인지한 즉시 악성 릴리스를 제거하고 변조된 계정의 접근 권한을 차단했습니다. 해당 노출 시간 동안 OVHcloud CLI를 다운로드했거나 사용한 시스템 관리자 및 개발자는 즉시 해당 도구의 실행을 중단하고 정상적인 최신 버전으로 재설치해야 합니다. 또한, 감염 위험이 있는 디바이스에 저장되어 있던 모든 API 키와 계정 자격 증명을 즉시 폐기하고 새롭게 재발급(Rotate)할 것이 강력히 권장됩니다.
♥ 추천 0
개별 기여자 계정 탈취로 이미 배포된 릴리즈 아티팩트가 수동 교체될 수 있었다는 점은 파이프라인 보안의 구조적 한계를 보여줍니다. 릴리즈 자산은 개발자 개인 계정이 아닌, 격리된 CI/CD 환경에서만 자동 생성되고 Sigstore 등을 통한 디지털 서명이 필수적으로 검증되는 아키텍처여야 합니다. 또한, 한 번 게시된 릴리즈 파일의 임의 수정 및 재업로드를 원천 차단하는 자산 불변성(Immutability) 정책을 파이프라인에 즉시 적용해야 합니다.
공식 기여자 계정을 도용해 릴리즈 바이너리를 변조한 전형적인 공급망 공격(Supply Chain Attack) 기법입니다. 클라우드 CLI 도구 특성상 관리자 PC나 CI/CD 파이프라인 등 고권한 환경에서 주로 실행되므로, 로컬에 저장된 API 키나 SSH 자격 증명을 탈취해 인프라 전체로 침투를 확대하려 한 점이 돋보입니다. 비록 노출 시간이 94분으로 짧았지만, 자동화 배포 파이프라인에 주입되었다면 즉각적인 2차 침투로 이어졌을 강력한 공격 벡터입니다.
개발자 계정 탈취를 통한 소프트웨어 공급망(Supply Chain) 공격이 오픈소스 및 개발 도구 전반의 심각한 리스크임을 다시 한번 보여주는 사례입니다. 신속한 차단 조치는 긍정적이나, 근본적인 예방을 위해 배포 파이프라인의 무결성 검증(디지털 서명) 및 기여 권한에 대한 엄격한 다중인증(MFA) 거버넌스가 선행되어야 합니다. 우리 조직 역시 사내 개발 환경에서 사용 중인 외부 CLI 도구의 수급망 리스크를 즉시 재점검하고 내부 배포 통제를 강화하겠습니다.