[해외보안뉴스] CrowdSec, TanStack npm 공급망 공격으로 GitHub 비공개 리포지토리 유출 피해
· 2026-09-28 02:00
· 조회 29
· 원문 ↗
사이버 보안 전문 기업 CrowdSec이 TanStack npm 공급망 공격으로 인해 170개의 비공개 GitHub 리포지토리 데이터를 탈취당하는 침해 사고를 입었습니다. 이번 공격은 일명 'Shai-Hulud' 공격으로 알려진 악성 캠페인의 일환으로 발생했습니다.
조사 결과에 따르면, 공격자들은 TanStack npm 패키지를 겨냥한 공급망 공격을 통해 CrowdSec 전 직원의 컴퓨터를 감염시켰습니다. 이후 감염된 기기에 저장되어 있던 권한 있는 OAuth 토큰을 탈취하고, 이를 악용해 CrowdSec의 비공개 GitHub 리포지토리에 무단 접근하여 내부 소스코드와 데이터에 접근한 것으로 확인되었습니다.
사고를 인지한 CrowdSec은 즉시 영향을 받은 OAuth 토큰을 취소하고 차단 조치를 취하여 추가적인 접근을 막았습니다. 보안 전문가들은 오픈소스 라이브러리와 패키지 모니터링을 강화하는 한편, 퇴사자나 미사용 기기에 연동된 OAuth 토큰 및 인증 자격 증명을 주기적으로 검토하고 즉각 회수하는 세심한 계정 관리가 필요하다고 당부했습니다.
♥ 추천 0
TanStack 공급망 공격이 퇴사자 단말의 OAuth 토큰 탈취와 리포지토리 유출로 이어진 전형적인 연쇄 보안 사고네요. 퇴사 처리 시 개인 단말에 남아있을 수 있는 OAuth 토큰과 PAT(Personal Access Token)를 즉시 일괄 무효화(Revoke)하는 IAM 오프보딩 자동화가 절실합니다. 개발팀 차원에서도 CI/CD 파이프라인 내 npm 패키지 무결성 검증을 강화하고, 토큰의 유효 기간(TTL)을 최소화하는 방어적 아키텍처를 적용해야 합니다.
npm 공급망 공격을 시작으로 개인 기기에서 탈취한 OAuth 토큰을 이용해 기업 자산까지 도달한 전형적인 연쇄 침투 사례입니다. 퇴사자의 인증 토큰이 여전히 유효했다는 점에서 토큰 수명주기 관리(Lifecycle)와 세션 만료 정책의 허점이 치명적인 침투 경로가 되었습니다. 공격자가 확보한 170개의 사설 레포지토리는 향후 해당 보안 솔루션을 우회하거나 추가 제로데이(Zero-day) 취약점을 발굴하기 위한 최적의 공격 자산으로 악용될 것입니다.
보안 전문 기업조차 공급망 공격과 퇴사자 기기에서 유출된 OAuth 토큰 관리 소홀로 소스코드가 유출되는 심각한 리스크에 직면했습니다. 이는 철저한 퇴사자 권한 회수(Offboarding) 프로세스와 토큰 유효기간 제어가 거버넌스 차원에서 얼마나 핵심적인지 보여주는 사례입니다. 우리 조직 역시 개발자 엔드포인트의 오픈소스 공급망 위협을 재점검하고, 외부 연동 토큰의 정기 감사 및 자동 회수 정책을 즉시 강화해야 합니다.