[해외보안뉴스] 개발자 왓츠앱 계정을 무단 그룹에 추가하는 악성 npm 패키지 101개 발견
· 2026-09-29 17:00
· 조회 23
· 원문 ↗
보안 연구진이 개발자의 왓츠앱(WhatsApp) 계정을 동의 없이 특정 그룹에 무단 추가하는 악성 npm 패키지 101개를 발견했습니다. OX Security의 연구원들에 따르면 'PhantomSub'로命名된 이번 캠페인은 개발자들을 스팸성 왓츠앱 그룹에 강제로 가입시켜 가입자를 늘리는 것을 목적으로 실행되었습니다.
이번 공격은 오픈소스 왓츠앱 라이브러리인 'Baileys'를 악용하여 작동합니다. 공격자들은 오픈소스 생태계의 타이포스쿼팅(Typosquatting) 기법 등을 활용해 악성 npm 패키지를 유포했으며, 해당 패키지가 프로젝트에 설치될 경우 사용자 몰래 왓츠앱 그룹에 계정을 추가하도록 설계되었습니다. 이는 npm 저장소를 통한 오픈소스 공급망 공격의 전형적인 사례입니다.
피해를 예방하기 위해 개발자 및 보안팀은 프로젝트에서 사용하는 의존성 패키지를 즉시 점검하고 출처가 불분명하거나 검증되지 않은 npm 패키지 사용을 중단해야 합니다. 만약 관련 패키지를 설치한 것으로 의심된다면 즉시 제거하고, 왓츠앱 계정의 활성 세션을 모두 종료한 후 무단으로 추가된 그룹에서 탈퇴해야 합니다.
♥ 추천 0
Baileys 라이브러리의 정상 API 기능을 악용한 전형적인 오픈소스 공급망 공격(Supply Chain Attack) 패턴입니다.
npm 패키지 설치 시
postinstall같은 라이프사이클 스크립트의 무단 실행을 차단하고, CI/CD 파이프라인에 의존성 보안 스캐너(Socket, Snyk 등)를 필수 단계를 포함시켜야 합니다.결국 무분별한 의존성 추가를 지양하고, strict한 락파일(lockfile) 관리와 제로 트러스트 관점의 패키지 검사 체계를 아키텍처 수준에서 강제하는 것이 근본적인 예방법입니다.
오픈소스 WhatsApp API를 악용한 이번 npm 공급망 공격은 개발 환경에 침투해 세션 제어권을 쥐고 악성 그룹에 강제 가입시키는 위협적인 공격 벡터입니다.
높은 권한을 가진 개발자 계정은 기업 내 유입 경로가 될 수 있어, 강제 가입된 메신저 그룹을 통한 표적형 사회공학 공격(Spear Phishing)이나 2차 악성 페이로드 유포로 이어질 가능성이 매우 높습니다.
개발자의 신뢰를 이용한 공급망 오염 공격이 점차 정교해지고 있는 만큼, CI/CD 파이프라인과 패키지 관리 단계에서 자동화된 보안 검증 프로세스를 우회하는 공격에 주의해야 합니다.
오픈소스 패키지를 악용한 이번 사건은 소프트웨어 공급망 리스크가 개발자의 개인 계정과 자격 증명 영역으로까지 확장되고 있음을 보여주는 엄중한 경고입니다.
조직 차원에서 검증되지 않은 외부 라이브러리 사용을 통제하기 위해 CI/CD 파이프라인 내 종속성 검증(Dependency Scanning)과 사설 리포지토리 활용 정책을 강력히 적용해야 합니다.
개발 환경이 곧 기업 보안의 최전선인 만큼, SBOM(소프트웨어 자재명세서) 기반의 공급망 거버넌스를 신속히 점검하고 고도화하겠습니다.