gyumin.log

주간 보안 Top 5 - 8.3 ~ 8.9

2026-08-09

이번 주 한눈에 npm 생태계에서 자가 전파 웜과 800여 개 규모 악성 패키지가 잇따라 확인되며 공급망 위협이 한 주 내내 이어졌다. 중국 APT의 딥시크 악용 자율형 AI 해킹과 실제 악용된 메타베이스 제로데이 등 공격의 자동화·고속화 흐름도 뚜렷했다. 국내에서는 롯데카드 유출 사고의 CISO 중징계가 확정돼 보안 거버넌스 논쟁이 커졌다.

1. npm 웜 확산에 악성 패키지 800여 개까지, 공급망 공격 연쇄

분류 공급망 · 주요 대상 개발자

선정 이유: 자가 전파 웜과 800개 규모 악성 패키지 클러스터가 같은 주에 잇따라 확인돼, 개발 환경을 통로로 삼는 공급망 위협이 정점에 달했기에 선정했다.

이번 주 npm(전 세계 자바스크립트 개발자가 쓰는 공개 패키지 저장소) 생태계에서 공급망 공격이 연쇄적으로 확인됐다. [email protected]에서 처음 발견된 자격증명 탈취형 npm 웜은 Keyv·Cacheable 네임스페이스를 넘어 8월 4일 여러 조직의 수백 개 패키지로 확산됐고, 보안업체 세이프뎁(SafeDep)에 따르면 감염 패키지는 클로드 코드(Claude Code)와 VS Code에 후크(특정 시점에 자동 실행되는 코드)를 심는다. 주 초에는 알리바바 개발자 도구 사용자를 노려 크로스플랫폼 원격 접근 트로이목마(RAT)를 유포하는 악성 패키지 18종이, 주 후반에는 윈도우·맥·리눅스를 모두 노리는 RAT와 인포스틸러(정보탈취형 악성코드)를 퍼뜨리는 약 800개 규모의 악성 패키지 클러스터가 잇따라 발견됐다.

웜(사람 개입 없이 스스로 복제·전파되는 악성코드)의 확산 구조가 특히 위협적이다. ① 개발자가 감염 패키지를 설치하면 npm 토큰 같은 자격증명이 탈취되고 ② 공격자는 탈취한 메인테이너 권한으로 그가 관리하는 다른 패키지에 악성 코드를 심어 재배포하며 ③ 이를 설치한 다음 개발자에게서 같은 과정이 반복돼 기하급수적으로 번진다. Keyv와 Cacheable은 널리 쓰이는 캐싱 라이브러리 계열이라 의존성을 타고 수많은 프로젝트로 전파될 수 있고, 개발 도구에 후크를 심는 방식은 패키지를 지운 뒤에도 지속성이 남을 수 있다. 800개 패키지 캠페인 역시 개발자들이 오픈소스 패키지를 별다른 검증 없이 설치한다는 점을 노렸다.

패키지 저장소는 신뢰를 전제로 한 유통 경로여서, 패키지 하나의 오염이 개발자 PC를 거쳐 기업 내부 시스템과 빌드 파이프라인, 빌드 산출물까지 번질 수 있다. 개발 조직은 최근 설치·갱신된 의존성의 감염 버전 여부를 점검하고 npm 토큰과 CI/CD 시크릿 등 자격증명을 즉시 교체해야 한다. 배포 계정 MFA(다중 인증) 적용, 잠금 파일(lockfile)로 의존성 버전 고정, 설치 전 패키지 이름·배포자 검증, 사내 프록시 레지스트리 운영이 기본 수칙이다.

관련 기사

2. 中 APT, 딥시크 악용한 ‘자율형 AI 해킹’ 적발

분류 악성코드·공격기법 · 주요 대상 기업 보안 담당자

선정 이유: 사람 개입 없이 AI가 취약점 탐색부터 공격 실행까지 수행한 정황이 실제 APT 캠페인에서 확인된, 공격 패러다임의 전환을 알리는 소식이라 선정했다.

팔로알토 네트웍스의 위협 인텔리전스 팀 유닛 42(Unit 42)가 AI를 악용한 차세대 사이버 공격 캠페인 분석 보고서를 공개했다. 중국 기반 APT(지능형 지속 위협, 특정 표적을 장기간 은밀하게 공략하는 주로 국가 배후의 조직적 공격) 조직이 AI 모델 ‘딥시크(DeepSeek)‘를 악용해, 인간 개입 없이 취약점 탐색부터 공격 실행까지 스스로 판단하는 능동형 해킹을 수행한 정황이 담겼다. 막히면 스스로 우회로를 찾는 자율형 AI 공격이 개념 검증 수준을 넘어 실제 공격 현장에서 적발됐다는 평가다.

기존의 침투 공격은 정찰, 취약점 분석, 공격 코드 작성, 실행의 각 단계마다 사람의 판단과 수작업이 필요해 시간이 걸렸다. 반면 자율형 AI 공격은 목표만 주어지면 AI가 이 단계들을 스스로 계획·실행하고 실패하면 다른 경로를 탐색하기 때문에, 공격의 속도와 규모가 사람의 작업 한계를 벗어난다. APT 조직이 이런 자동화 역량을 확보하면 취약점 공개부터 실제 악용까지의 간격이 좁아지고, 방어 측에 주어지는 대응 시간은 크게 줄어들 수밖에 없다.

방어 역시 사람 속도의 수동 대응만으로는 따라잡기 어렵다는 것이 이번 사건의 함의다. 탐지·차단의 자동화 수준을 끌어올리고, 알려진 취약점의 패치 주기를 앞당기는 것이 그만큼 중요해졌다. 실무적으로는 인터넷에 노출된 자산 목록을 정비해 AI가 탐색할 공격 표면 자체를 줄이고, 침입 탐지·대응 체계가 자동화된 공격 속도를 전제로 설계돼 있는지 점검하는 것이 출발점이다.

관련 기사

3. 메타베이스 최대 심각도 제로데이, 실제 악용 확인

분류 취약점·패치 · 주요 대상 기업 보안 담당자

선정 이유: 인증 없이 관리자 권한을 내주는 최대 심각도 결함이 이미 실제 공격에 쓰이고 있어, 이번 주 가장 시급한 조치가 필요한 취약점이라 선정했다.

BI(비즈니스 인텔리전스)·데이터 시각화 소프트웨어 메타베이스(Metabase)에서 최대 심각도 보안 결함이 제로데이 상태로 실제 악용됐다는 경고가 나왔다. 이 취약점은 인증 없이 관리자 권한 접근을 허용하는 것으로 알려졌다. 제로데이란 패치가 나오기 전에 공격자가 먼저 악용하는 취약점으로, 방어자에게 대응할 시간이 ‘0일’이라는 뜻이다.

위험을 키우는 것은 ‘무인증’과 ‘관리자 권한’의 조합이다. 로그인 절차 없이 요청만으로 최고 권한에 도달할 수 있다는 뜻이어서, 인터넷에 노출된 인스턴스라면 외부의 누구든 공격을 시도할 수 있다. 게다가 메타베이스 같은 BI 도구는 사내 데이터베이스와 직접 연결돼 동작하기 때문에, 관리자 권한이 뚫리면 대시보드에 표시되는 데이터만이 아니라 연결된 데이터 소스의 접속 자격증명과 내부 데이터까지 노출될 수 있다. BI 도구 침해가 내부 데이터베이스 침해로 이어지는 관문이 되는 구조다.

메타베이스를 인터넷에 노출한 채 운영 중이라면 우선 외부 접근을 차단하고, 벤더가 제공하는 수정 버전을 즉시 적용하는 것이 급선무다. 이미 실제 악용이 확인된 제로데이인 만큼 패치로 끝내서는 안 되고, 침해 가능성을 전제로 관리자 계정의 생성·변경 이력과 접근 로그의 이상 징후를 점검하고, 메타베이스에 연결된 데이터 소스의 자격증명을 교체하는 것까지 함께 검토해야 한다.

관련 기사

4. 롯데카드 전·현직 CISO 정직·4년 취업 제한 확정

분류 정책·제도 · 주요 대상 CISO·기업 보안 담당자

선정 이유: 297만 명 유출 사고의 책임을 보안 책임자 개인에게 묻는 중징계가 확정돼, 국내 보안 거버넌스 전반에 파장이 큰 결정이라 선정했다.

2025년 8월 발생한 롯데카드 고객정보 297만 명 유출 사고와 관련해 금융감독원이 전·현직 정보보호최고책임자(CISO)에 대한 중징계를 최종 확정했다. 전·현직 CISO 모두 정직 처분과 함께 금융권 4년 취업 제한이 적용되며, 보안팀장 2명은 각각 감봉 3개월 처분을 받았다. CISO는 조직의 정보보호 정책과 사고 대응을 총괄하는 임원으로, 금융권에서는 법적으로 지정 의무가 있는 자리다.

이번 제재가 주목받는 이유는 사고의 기술적 원인보다 책임을 묻는 방식에 있다. 정직에 더해 4년간 동종업계 취업까지 막는 처분은 사실상 커리어 단절을 의미하는데, 업계에서는 보안 사고 책임을 개인에게 과도하게 묻는 ‘나쁜 선례’가 될 수 있다는 우려가 확산되고 있다. 사고 책임이 곧 커리어 단절로 이어지면 CISO 기피 현상이 심해져 오히려 보안 거버넌스(보안에 관한 의사결정과 책임의 체계)가 약화될 수 있다는 지적이다. 보안 수준은 예산·인력 등 경영진의 의사결정에 크게 좌우되는데, 결과 책임은 개인에게 집중되는 구조라는 것이다.

보안 실무자와 책임자 입장에서는 사고 대응 체계뿐 아니라 의사결정 근거와 책임 소재를 평소에 기록으로 명확히 관리하는 것이 중요해졌다. 위험 평가 결과와 개선 요구, 예산 반영 여부 같은 경영 보고 이력을 문서로 남기고 사고 대응 절차의 이행 증적을 확보해 두는 것이 개인과 조직을 함께 보호하는 길이다. 기업 차원에서는 CISO에게 책임에 상응하는 권한과 자원을 부여하고 있는지 재점검할 계기이기도 하다.

관련 기사

5. 콜드카드 난수 결함, 41분 만에 1,082BTC 탈취

분류 침해사고·유출 · 주요 대상 암호화폐 사용자

선정 이유: 오프라인 하드웨어 지갑조차 펌웨어 결함 앞에서는 안전하지 않다는 사실을 약 980억 원의 실제 피해로 보여준 사건이라 선정했다.

비트코인 전용 하드웨어 지갑 ‘콜드카드(ColdCard)‘의 오래된 펌웨어 결함이 실제 대규모 자산 탈취로 이어진 정황이 확인됐다. 공격자는 단 41분 만에 1,196개의 비트코인 주소에서 총 1,082.65BTC를 옮겼으며, 당시 시세 기준 약 7,020만 달러(약 980억 원) 규모다. 개인 지갑 몇 개가 털린 사고가 아니라, 하드웨어 지갑의 난수 생성 과정에 존재했던 결함이 원인이라는 점이 사건의 핵심이다.

암호화폐 지갑의 개인키(지갑 소유권을 증명하는 비밀값)는 난수(예측 불가능한 무작위 값)를 바탕으로 생성된다. 난수 생성이 편향되거나 예측 가능하면 만들어질 수 있는 키의 경우의 수가 크게 줄어들어, 공격자가 개인키를 역산(거꾸로 계산해 알아내는 것)할 수 있게 된다. 공격 흐름을 단계로 보면 ① 구버전 펌웨어가 결함 있는 난수로 개인키를 생성하고 ② 공격자가 그 결함의 패턴을 이용해 후보 키를 계산한 뒤 블록체인상의 주소와 대조하고 ③ 일치하는 주소의 자산을 일괄 이체하는 방식이다. 이 과정은 기기를 만질 필요가 없어, 인터넷과 분리된 지갑의 자산도 원격에서 빠져나간다. 1,196개 주소가 41분 만에 비워진 것은 키 확보가 사전에 끝난 상태에서 이체만 일괄 실행됐다고 볼 수 있는 대목이다.

하드웨어 지갑은 개인키를 인터넷과 분리된 전용 기기에 보관해 온라인 해킹을 원천 차단하는 수단으로 여겨져 왔지만, 키를 만들어내는 펌웨어 자체에 결함이 있으면 이 격리는 의미가 없어진다. 사용자는 지갑 펌웨어를 최신으로 유지하고, 구버전 펌웨어로 생성한 주소의 자산은 새 펌웨어로 만든 새 지갑 주소로 이전하는 것을 검토해야 한다. 사용 중인 하드웨어 지갑 제조사의 보안 공지를 구독해 결함 공개 시 즉시 대응할 수 있게 해두는 것도 필요하다.

관련 기사

이 정리는 8월 3일~8월 9일 수집된 보안 뉴스 97건 중에서 자동 선별되었습니다.