[해외보안뉴스] 공개 GitHub 저장소에서 54만 개 이상의 유효한 인증 정보 노출
· 2026-09-30 22:00
· 조회 23
· 원문 ↗
GitHub의 민감 데이터 유출 방지 보안 조치에도 불구하고, 지난 7월 기준으로 54만 3,000개가 넘는 유효한 자격 증명(Credentials)이 공개 GitHub 저장소에 여전히 노출되어 있는 것으로 확인되었습니다. 노출된 정보에는 API 키, 데이터베이스 비밀번호, OAuth 토큰, 개인 암호화 키 등 다양한 민감 데이터가 포함되어 있으며, 보안 조사 결과 이 중 상당수가 여전히 실제 시스템 및 서비스에 접근 가능한 유효한 상태였습니다.
이번 유출 사건은 개인 개발자부터 대규모 기업 및 클라우드 서비스 제공업체에 이르기까지 광범위한 영향을 미칩니다. 공격자가 노출된 유효한 자격 증명을 확보할 경우, 기업 내부 네트워크 침입, 민감 데이터 도난, 클라우드 자원 무단 도용을 통한 가상화폐 채굴, 나아가 소프트웨어 공급망 공격으로 이어질 수 있습니다. 특히 악의적인 행위자들은 자동화된 스캐닝 봇을 통해 코드가 업로드되는 즉시 자격 증명을 수집하고 있어 유출 시 즉각적인 위협에 직면하게 됩니다.
이러한 피해를 예방하기 위해 개발자는 소스 코드 내에 인증 정보를 절대 직접 입력(Hardcoding)하지 말고, 환경 변수나 AWS Secrets Manager, HashiCorp Vault와 같은 전용 비밀 관리 솔루션을 활용해야 합니다. 또한, 코드 커밋 전에 민감 정보를 검출하는 사전 커밋 후크(Pre-commit hook)를 적용하고 GitHub의 Secret Scanning 기능을 활성화하는 것이 권장됩니다. 만약 자격 증명 노출이 확인되었다면 즉시 해당 인증 키를 폐기 및 재발급하고, 관련 시스템의 접근 로그를 점검하여 침해 여부를 조사해야 합니다.
플랫폼의 Secret Scanning 기능에만 의존할 것이 아니라,
gitleaks나husky같은 Pre-commit hook을 개발 환경에 의무화하여 로컬 단계에서 푸시 자체를 차단해야 합니다.더불어 코드베이스 내 롱리브(Long-lived) 토큰을 완전히 제거하고, Vault나 Cloud KMS를 통해 단기 임시 자격 증명(Ephemeral Credentials)을 주입받는 아키텍처로 전환하는 것이 근본적인 해결책입니다.
결국 자격 증명 유출 사고는 '감지 및 회수'가 아닌 '유출되어도 쓸 수 없는 구조'를 만드는 것이 핵심입니다.
공개 깃허브 리포지토리는 공격자들에게 여전히 가장 효율적이고 치명적인 '초기 침투(Initial Access)' 경로입니다.
자동화 도구로 확보한 54만 개의 유효한 자격 증명은 복잡한 익스플로잇 없이도 타깃의 클라우드 인프라를 장악하거나 내부망으로 횡적 이동(Lateral Movement)을 수행할 수 있는 최적의 환경을 제공합니다.
시크릿 스캐닝 알림에만 의존할 것이 아니라, 노출 감지 즉시 해당 키를 세션 단절과 함께 자동 폐기(Revoke) 및 순환(Rotation)시키는 강제적 대응 파이프라인이 필수적입니다.
외부 플랫폼의 자체 보안 기능에만 의존하는 것은 한계가 있으며, 소스코드 내 자격 증명 유출은 여전히 조직의 가장 치명적인 리스크입니다.
개발 프로세스 내 커밋 전 기밀 탐지(Pre-commit scanning)를 의무화하고, 코드에 자격 증명을 직접 하드코딩하지 못하도록 중앙 집중식 자격 증명 관리(Secrets Management) 정책을 강제해야 합니다.
나아가 임시 토큰(Short-lived token) 활용과 최소 권한 원칙을 철저히 적용하여, 설령 자격 증명이 유출되더라도 즉각적인 시스템 침해로 이어지지 않도록 리스크 관리 거버넌스를 강화하겠습니다.