소피코브 NuGet과 npm 동시 악용…클라우드 비밀정보 탈취 경보

악성 Sicoob NuGet과 npm 패키지가 은행 자격증명과 클라우드 비밀정보를 노리며, 개발자 생태계 전체가 공급망 표적이 됐다.

• Malicious Sicoob NuGet Steals Banking Credentials as npm Packages Target Cloud Secrets는 NuGet과 npm 생태계를 함께 겨냥한 공격을 보도했다. Sicoob NuGet, npm packages, cloud secrets라는 키워드는 패키지 저장소가 금융정보와 클라우드 비밀정보를 동시에 노리는 침투 경로가 됐음을 보여준다.
• 핵심은 개발자가 신뢰하는 라이브러리 설치 과정이 곧 자격증명 유출 통로가 된다는 점이다. 공격자는 은행 계정 정보와 클라우드 키를 탈취해 추가 침해를 이어가며, 방어자는 패키지 무결성과 비밀정보 관리 정책을 함께 봐야 한다.
• 기사의 정량 정보는 NuGet과 npm이라는 두 주요 패키지 생태계가 동시에 악용됐다는 점이다. Sicoob NuGet과 cloud secrets는 공급망 보안이 단일 제품 문제가 아니라 개발 전반의 관리 문제임을 강조한다.
• 한국 정부는 공공 소프트웨어 조달에서 외부 패키지 승인 절차, 서명 검증, 비밀정보 스캔을 의무화해야 한다. 개발 생산성을 이유로 검증을 생략하면 행정망과 민간 협력 시스템 모두가 위험해진다.

공급망 공격은 가장 신뢰받는 경로를 가장 위험한 경로로 바꾼다. 한국은 패키지 저장소와 비밀정보 관리 정책을 조달 기준에 포함해야 한다.

주요 용어: NuGet(.NET 패키지 저장소), npm(JavaScript 패키지 저장소), 클라우드 비밀정보(API 키·토큰 등 시스템 접근 정보)

출처: The Hacker News