[해외보안뉴스] 탈취된 GitHub 토큰으로 시크릿 정보를 유출하는 'Gheist' 공격 주의
· 2026-10-26 13:00
· 조회 6
· 원문 ↗
클라우드 보안 기업 Wiz의 분석에 따르면, 탈취된 GitHub 토큰을 악용해 저장소의 민감한 시크릿 정보를 빼돌리는 자동화된 공격 캠페인인 'Gheist'가 발견되었습니다. 공격자는 탈취한 토큰을 사용해 타깃 저장소에 악성 워크플로우를 등록한 뒤, 저장소에 설정된 시크릿(Secret) 정보들을 GitHub Actions 실행 로그에 출력하도록 조작합니다.
이후 공격자는 생성된 실행 로그를 즉시 다운로드하여 저장소의 API 키나 자격 증명 등의 민감한 데이터를 수집하며, 추적을 피하기 위해 해당 워크플로우 실행 기록(Runs)을 삭제하는 정교한 방식을 사용합니다. 이번 캠페인은 일반 개인 비공개 저장소(Private Repositories)는 물론 강력한 보안이 요구되는 GitHub Enterprise 환경에서도 성공적으로 실행된 것으로 확인되어 넓은 영향 범위를 보이고 있습니다.
이러한 공격 피해를 예방하기 위해 기업 및 개발자는 사용 중인 GitHub 개인 액세스 토큰(PAT)과 OAuth 토큰의 권한을 최소화(Least Privilege)하고 정기적으로 순환(Rotation)해야 합니다. 또한, GitHub Actions 워크플로우 내 마스킹 처리 유무를 확인하고, 감사 로그(Audit Log)를 통해 의심스러운 워크플로우 생성 및 삭제 행위가 발생하는지 실시간으로 모니터링해야 합니다.
♥ 추천 0
토큰 탈취에서 시작해 CI/CD 파이프라인을 악용한 전형적인 공급망 공격 패턴입니다.
GitHub Secrets에 장기 세션 키를 직접 등록하는 방식을 지양하고, OIDC 기반의 단기 인증 아키텍처로 조속히 전환해야 합니다.
또한 개발 환경 전반에 Fine-grained PAT 사용을 강제하고, Actions 내
permissions스코프를 최소 권한으로 제약하는 파이프라인 가드레일 구축이 시급합니다.탈취된 토큰과 정상적인 GitHub Actions 인프라를 결합해 별도의 C2 구축 없이도 시크릿을 유출시키는 매우 치명적이고 실용적인 공격 기법입니다. CI/CD 파이프라인의 로그 기능을 유출 통로로 악용하고 실행 이력을 즉각 삭제함으로써 기존의 네트워크 모니터링과 DLP 방어 체계를 손쉽게 우회하고 있습니다. 최소 권한 원칙이 적용되지 않은 토큰 하나만 유출되어도 자동화 스크립트를 통해 엔터프라이즈 내부로 빠르게 파급될 수 있어 악용 위험도가 매우 높습니다.
훔친 GitHub 토큰을 활용해 CI/CD 파이프라인을 무기화하고 내부 시크릿을 탈취하는 이번 공격은 개발 환경의 계정 및 권한 관리 리스크가 얼마나 치명적인지 잘 보여줍니다.
우리는 즉시 개인 액세스 토큰(PAT)의 유효기간 단축과 세분화된 최소 권한 원칙을 강제하고, 임의의 GitHub Actions 워크플로우 실행을 통제하는 파이프라인 보안 정책을 재정비해야 합니다.
아울러 공격자가 흔적을 지우기 전에 위협을 감지할 수 있도록, CI/CD 감사 로그를 중앙 SIEM으로 즉시 수집·분석하는 모니터링 거버넌스를 강화하겠습니다.