Axios npm 해킹, 가짜 Teams 오류 수정으로 개발자 계정 장악

Axios npm 패키지 유지보수자 계정 탈취로 글로벌 소프트웨어 공급망 공격 사례 급증 우려

• Axios JavaScript 라이브러리의 npm 유지보수자 계정이 가짜 Microsoft Teams 오류 수정 패키지를 통해 피싱으로 탈취당하며 공격자들이 악성 코드를 삽입해 전 세계 개발자들이 사용하는 소프트웨어 공급망을 직접적으로 위협하는 사건이 발생하였습니다.
• 공격자들은 계정 탈취 후 Axios 패키지에 후위 악성 모듈을 업로드하고 이를 통해 수많은 프로젝트에 침투하며 npm 생태계의 신뢰성을 근본적으로 훼손하는 결과를 초래하였습니다.
• 이 사건은 소프트웨어 개발 초기 단계부터 보안 검증의 필요성을 강조하며 글로벌 오픈소스 커뮤니티가 직면한 공급망 공격의 심각성을 여실히 드러내고 있습니다.
• npm과 같은 공공 저장소의 계정 관리 취약점이 대규모 소프트웨어 생태계 붕괴로 이어질 수 있음을 보여주며 기업 및 정부 차원의 공급망 보안 정책 강화가 불가피합니다.
• 공격 수법의 정교함은 일반 개발자들이 인지하기 어려운 사회공학적 기법을 활용하고 있어 보안 교육과 다단계 인증 의무화가 시급한 과제로 부상하였습니다.

이번 사건은 오픈소스 공급망이 국가 인프라의 핵심이 된 시대에 개발자 계정 보호가 디지털 주권의 관건임을 시사한다. 단기적으로는 국내 개발 프로젝트의 패키지 검증 강화, 중장기적으로는 국제 표준 준수와 공급망 보안법 제정이 필요하다.

출처: BleepingComputer