오픈소스 개발자 공급망 장악 GlassWorm, 도용 깃허브 토큰으로 파이썬 리포지토리 침투

깃허브 인증 탈취로 오픈소스 생태계 무력화 위협

• GlassWorm 공격 그룹이 도용된 깃허브 토큰을 악용하여 파이썬 저장소에 악성코드를 강제 배포함으로써 수백만 명의 개발자가 사용하는 오픈소스 라이브러리를 통한 대규모 공급망 침해를 야기하였습니다.
• 72개의 오픈 VSX 익스텐션(Visual Studio Code 플러그인)을 동시에 손상시키는 방식으로 개발자 도구 전 영역에 걸친 종속성 주입 공격을 감행하며, 이는 단일 악성 패키지 설치로 수천 개 조직의 소프트웨어 빌드 파이프라인을 오염시킬 수 있는 위협입니다.
• 글로벌 IT 기업 및 정부 기관의 소프트웨어 개발 환경이 근본적으로 훼손될 수 있으며, 특히 개발자 인증 관리 체계의 약점이 국가 정보 보안 체계 전체로 파급될 수 있다는 점에서 전략적 취약점으로 작용합니다.
• 오픈소스 저장소 운영자들의 접근 제어 정책 강화 및 토큰 로테이션 의무화, 그리고 개발자 커뮤니티의 투명성 강화가 시급한 상황입니다.

이번 사건은 소프트웨어 공급망 보안이 단순 기술 검증을 넘어 국가 디지털 기반시설 안보와 직결되는 문제임을 드러낸다. 단기적으로는 깃허브·깃랩 등 개발자 플랫폼의 다중인증 의무화 및 토큰 권한 최소화 정책이, 중장기적으로는 오픈소스 무결성 검증 체계 구축이 필요하다.

출처: The Hacker News