TrapDoor, npm·PyPI·CratesIO로 번졌다…공급망 신뢰 붕괴 경고

오픈소스 저장소가 동시에 노려지면, 코드 검증의 마지막 신뢰선이 무너지고 정부·기업의 소프트웨어 조달 체계가 흔들린다.

• The Hacker News는 TrapDoor 공급망 공격이 npm, PyPI, CratesIO를 통해 자격증명 탈취 악성코드를 퍼뜨렸다고 보도했다. TrapDoor, npm, PyPI, CratesIO가 동시에 등장한다는 점은 공격자가 하나의 언어 생태계가 아니라 개발 전반의 의존성을 겨냥하고 있음을 보여주며, 한국의 공공 소프트웨어 조달과 민간 개발 표준 모두에 직접적인 압박을 준다.
• 공격 방식은 신뢰받는 패키지 저장소를 통해 악성 구성요소를 유포하고, 개발 과정에서 자동 설치되는 의존성을 이용해 인증정보를 훔치는 구조다. npm, PyPI, CratesIO는 각각 자바스크립트, 파이썬, 러스트 생태계의 핵심 축이므로, 한 곳의 오염이 여러 산업의 앱과 서비스로 연쇄 전파되는 것이 핵심 위험이다.
• 기사의 핵심 정량 데이터는 세 개의 주요 저장소가 동시에 악용되었다는 점이다. TrapDoor, 자격증명 탈취, 공급망 공격이라는 조합은 개발 생산성과 보안의 균형이 무너질 수 있음을 뜻하며, 한국 정부는 공개 SW 활용 사업에서 패키지 고정, 서명 검증, 빌드 재현성 요구를 의무화해야 한다.
• 이 사건은 소프트웨어 공급망 보안이 특정 기업의 문제가 아니라 국가 산업 경쟁력의 기반이라는 점을 보여준다. 한국이 디지털 행정, 방산, 금융에서 오픈소스 의존을 확대할수록, 저장소 신뢰 검증과 내부망 반입 통제가 국가안보 정책의 일부가 되어야 한다.

오픈소스는 빠른 혁신의 기반이지만, 검증 없이 쓰이면 공격자의 유통망이 된다. 정부는 공공 SW에 대해 패키지 출처 확인, 해시 고정, 서명 검증을 기본 요건으로 설정해야 한다.

주요 용어: 공급망 공격(정상 개발·배포 경로를 악용하는 침투 방식), 패키지 저장소(개발자가 라이브러리를 내려받는 중앙 저장소), 해시 고정(특정 버전의 파일 무결성을 확인하는 방식)

출처: The Hacker News