[해외보안뉴스] Twilio 버그 바운티 도구로 위장해 자격 증명을 탈취하는 악성 npm 패키지 발견
· 2026-09-22 22:00
· 조회 29
· 원문 ↗
최근 자바스크립트 패키지 생태계인 npm 레지스트리에서 보안 진단 도구를 가장해 개발자의 민감 정보를 탈취하는 악성 패키지가 발견되었습니다. 보안 연구원들의 발표에 따르면, 'tw-pkgprobe-7731'이라는 이름의 이 패키지는 2026년 8월 중순 'twdepprobe7731'이라는 사용자 계정에 의해 처음 업로드되었으며, 애플리케이션에 Twilio 서비스를 연동하는 개발자들을 주요 타깃으로 삼았습니다.
해당 패키지는 애플리케이션의 Twilio 연동 상태를 검증하거나 버그 바운티(Bug-Bounty) 정찰을 돕는 보안 도구인 것처럼 위장했습니다. 그러나 실제로는 실행 시 시스템 내부에 저장된 계정 자격 증명, 환경 변수, API 키 등 민감한 데이터를 몰래 수집하여 외부로 유출하는 악성 동작을 수행합니다.
이로 인한 주요 피해 대상은 Twilio API를 활용하는 개발자 및 관련 개발 환경 전체에 미칩니다. 개발자는 현재 프로젝트의 의존성 목록을 확인하여 'tw-pkgprobe-7731' 패키지가 설치되어 있다면 즉시 삭제해야 합니다. 또한, 해당 패키지가 실행된 적이 있는 환경에서는 Twilio API 토큰을 포함해 노출되었을 가능성이 있는 모든 자격 증명을 즉시 폐기하고 재발급해야 하며, 출처가 불분명한 패키지 도입 시 코드 검증을 강화하는 조치가 필요합니다.
♥ 추천 0
버그 바운티나 진단 도구로 위장한 오픈소스 공급망 공격이 갈수록 교묘해지네요. 공식 네임스페이스(예:
@twilio)가 확인되지 않은 패키지는 CI/CD 파이프라인의 의존성 검사 단계에서 즉시 차단하도록 정책을 강제해야 합니다. 또한,npm install --ignore-scripts옵션을 기본 적용하고 개발 환경 내 주요 자격 증명(Credentials) 접근을 제한하는 최소 권한 아키텍처 구현이 필수적입니다.보안 진단 도구로 위장해 개발자들의 경계심을 허무는 사회공학적 기법과 오픈소스 공급망 공격의 전형적인 결합입니다. 패키지 설치 시 실행되는 후킹 스크립트를 악용하면 개발자 환경에 저장된 API 키와 CI/CD 파이프라인의 자격 증명을 손쉽게 탈취할 수 있습니다. 침투 테스터 관점에서 개발자 단말 및 환경 변수 탈취는 기업 내부망 깊숙이 침투하기 위한 최고의 초기 침투(Initial Access) 벡터가 됩니다.
오픈소스 생태계를 악용한 공급망 공격이 개발자의 보안 검증 심리까지 이용할 만큼 정교해지고 있습니다. 조직 차원에서 사설 패키지 저장소(Private Registry) 운용과 소프트웨어 구성 분석(SCA) 정책을 강화해 검증되지 않은 패키지의 유입을 철저히 통제해야 합니다. 또한 개발 환경 내 중요 자격 증명 탈취를 막기 위해 시크릿 관리(Secrets Management) 시스템 도입과 최소 권한 원칙 적용을 서둘러야 합니다.