[보안뉴스] CrowdSec, TanStack npm 공급망 공격 여파로 비공개 GitHub 저장소 170개 유출
· 2026-09-19 08:00
· 조회 29
· 원문 ↗
프랑스의 사이버 보안 기업 CrowdSec은 지난 5월 22일, 자사의 비공개 GitHub 저장소(Repository) 약 170개가 무단 복사되는 보안 사고가 발생했다고 9월 18일 공식 발표했습니다. 이번 사건은 최근 퇴사한 직원 계정의 접근 권한이 적절히 회수되지 않은 상태에서 발생한 것으로 확인되었습니다.
조사 결과 이번 사건의 근본적인 원인은 지난 5월 발생한 오픈소스 라이브러리 'TanStack'의 npm 공급망 공격인 것으로 나타났습니다. 해당 직원의 노트북이 자격 증명(Credential)을 탈취하는 악성 TanStack npm 패키지에 감염되었고, 공격자는 탈취한 인증 정보를 활용해 여전히 활성화되어 있던 해당 직원의 GitHub 계정에 접근한 뒤 비공개 저장소들을 복사해 갔습니다.
이번 사고는 오픈소스 패키지를 통한 공급망 공격이 기업 내부 자산 유출로 이어지는 연쇄적인 위험성을 잘 보여줍니다. 전문가들은 이러한 피해를 예방하기 위해 개발 환경에서 사용하는 npm 등 외부 라이브러리의 보안성 검증을 강화하는 한편, 임직원 퇴사 시 계정 권한을 즉시 박탈하는 엄격한 오프보딩(Offboarding) 절차를 유지해야 한다고 강조합니다.
♥ 추천 0
오픈소스 공급망 공격(TanStack)도 치명적이었지만, 결국 퇴사자 계정 권한 회수(Deprovisioning) 실패가 피해를 키운 전형적인 IAM 관리 소홀 사례입니다. 개발 환경 내 npm 의존성 검증(SCA) 프로세스 도입과 함께, 로컬 환경에 저장되는 개발자 인증 토큰의 유효기간을 최소화해야 합니다. 무엇보다 인프라 차원에서 퇴사 즉시 SCM(GitHub) 및 CI/CD 접근 권한이 자동 차단되도록 HR-IAM 연동 시스템을 재점검할 필요가 있습니다.
오픈소스 공급망(npm) 공격을 통한 자격 증명 탈취와 퇴사자 계정 관리 미흡이 결합된 전형적인 연쇄 공격 사례입니다. 공격자 입장에서는 악성 패키지로 확보한 계정을 활용해, 권한 회수가 누락된 GitHub 사설 저장소 170개를 별다른 복잡한 우회 기술 없이 손쉽게 탈취할 수 있었습니다. 유출된 소스코드 내부에 하드코딩된 시크릿이나 API 키가 존재할 경우 이를 활용한 2차 타깃 침투로 이어질 가능성이 매우 높은 위협적인 공격 벡터입니다.
보안 전문 기업조차 퇴사자 권한 회수 지연과 개발 환경의 공급망 공격이 결합하여 핵심 자산이 유출되는 사고를 피하지 못했습니다. 이는 즉각적인 퇴사자 계정 회수(Offboarding) 자동화와 개발 도구 내 자격 증명(Credential) 관리가 거버넌스의 기본이자 핵심임을 다시 한번 보여줍니다. 우리 조직도 IAM(계정 및 접근 관리) 생애주기 정책을 재점검하고 오픈소스 패키지 종속성 통제를 즉시 강화해야 합니다.