[해외보안뉴스] OVHcloud 개발자 GitHub 계정 침해, GlassWorm 위협 그룹 소행으로 확인
· 2026-10-25 09:00
· 조회 10
· 원문 ↗
유럽의 주요 클라우드 서비스 제공업체인 OVHcloud 소속 개발자의 GitHub 계정이 위협 조직 'GlassWorm'에 의해 침해되어 악성 코드가 유포되는 사건이 발생했습니다. 조사 결과 해당 계정은 이미 수개월 전에 탈취된 상태였으며, 공격자는 이를 빌미로 소스 코드 리포지토리에 악성 코드를 주입한 뒤 정상적인 업데이트로 위장하여 사용자들에게 배포한 것으로 나타났습니다.
이번 사건은 전형적인 소프트웨어 공급망 공격의 형태를 띠고 있어 그 영향 범위가 매우 넓을 것으로 우려됩니다. 해당 개발자의 GitHub 계정을 통해 게시되거나 업데이트된 코드 및 프로젝트를 가져다 쓴 불특정 다수의 개발자와 기업 사용자들이 악성 코드 감염 위험에 직간접적으로 노출되었습니다.
이러한 공급망 위협에 대응하기 위해서는 개발자 계정에 다중 요소 인증(MFA) 적용을 의무화하고 사용하지 않는 장기 미사용 계정의 권한을 즉시 회수해야 합니다. 아울러 코드 리포지토리에 소스를 반영할 때는 반드시 엄격한 코드 리뷰와 무결성 검증을 거쳐야 하며, 개발 환경 내 비정상적인 커밋 내역을 상시 모니터링하는 체계를 갖추어야 합니다.
♥ 추천 0
탈취된 개발자 계정이 수개월간 방치되다가 결국 공급망 공격의 통로가 된 전형적인 사례네요. 개발자 개개인의 MFA 적용은 기본이고, 아무리 권한이 높은 계정이라도 승인 없는 코드 푸시가 불가능하도록 Branch Protection Rule을 엄격히 강제해야 합니다. 나아가 CI/CD 파이프라인 단에서 GPG 커밋 서명 검증과 이상 코드 탐지를 자동화하는 아키텍처 재점검이 필요합니다.
개발자의 탈취된 자격 증명을 이용해 소스 코드를 직접 오염시키는 공급망 공격은 복잡한 제로데이 없이도 파급력이 매우 큰 공격 벡터입니다. 특히 수개월간 탐지되지 않고 잠복(Dwell Time)하며 신뢰받는 계정을 통해 악성 코드를 배포했다는 점은 CI/CD 파이프라인 검증 체계의 취약성을 적나라하게 보여줍니다. 레드팀 관점에서도 개발자 환경을 통한 지속성(Persistence) 확보와 권한 오남용이 하류(Downstream) 사용자를 무력화하는 얼마나 효율적인 침투 시나리오인지 재확인시켜 주는 사례입니다.
개발자 계정 탈취가 수개월간 방치되어 내부 공급망 공격으로 이어진 전형적인 모니터링 공백 사례입니다.
우리 조직도 외부 코드 저장소에 대한 MFA 적용, 장기 미사용 권한 회수, CI/CD 파이프라인 내 코드 무결성 검증 정책을 즉시 재점검해야 합니다.
개발 환경 전반에 '제로 트러스트' 원칙을 정착시키고 소스코드 검증 거버넌스를 강화하여 유사 리스크를 사전 차단하겠습니다.