무슨 일이 있었나
2026년 10월 8일(UTC), GhostAction 캠페인이 유명 오픈소스 메인테이너 두 명의 계정을 탈취해 악성 GitHub Actions 워크플로 **security-audit.yml**을 약 345개 저장소에 넣었습니다. 게임 엔진 pyxel(약 1만 8,400 스타) 작가 Takashi Kitao 계정으로 27개, 이어 Uber athenadriver 원작자 Henry Wu(henrywoo) 계정으로 16분 만에 318개(Uber 소유 uber/athenadriver 포함).
Socket에 따르면 10월 9일까지 500개 이상 계정이 10월 7일 이후 수만 개 저장소에 이 워크플로를 커밋했습니다.
무엇을 훔치나
"보안 감사"로 위장해 push마다 실행되며 Actions 시크릿을 수집하고 git 전체 기록에서 자격 증명을 찾아 HTTP 평문으로 고정 IP(193.32.204.199)에 보냅니다. PyPI, npm, Docker Hub 토큰, AWS, Azure, Google Cloud 키, SSH 키, 채팅 봇 토큰, AI API 키(OpenAI, Anthropic, OpenRouter) 등이 대상입니다.
첫 번째가 아니다
2025년 9월 처음 등장(817개 저장소, 시크릿 3,325개). GitGuardian은 2026년 8월 31일~9월 30일 772개 저장소 공격을 확인했고, 92건은 이전에 심어진 뒤 삭제되지 않은 워크플로의 전송지만 바꾼 것이었습니다.
대응
- 모든 브랜치·포크에서
.github/workflows/security-audit.yml등 낯선 워크플로 확인 - 발견 시 침해로 간주하고 GitHub 자격 증명 폐기, 모든 시크릿 교체
- 클라우드 로그 점검
- 기록에서 시크릿 제거, 시크릿 관리 도구와 OIDC 사용
- 패스키, 토큰 점검,
.github/workflows변경 리뷰 필수화 - 러너의 외부 통신 제한
출처
- The Hacker News: https://thehackernews.com/2026/10/credential-stealing-github-actions.html
- Socket: https://socket.dev/blog/ghostaction-cloud-credentials
- GitGuardian: https://blog.gitguardian.com/ghostaction-github-actions-supply-chain-attack-returns/
- The Exploit Bulletin: https://exploitbulletin.com/bulletin/2026-10-10/supply-chain-github-actions-ghostaction-2026-10-10
CI/CD 파이프라인과 시크릿을 점검하고 싶으신가요? KGA IT가 무료 상담을 제공합니다: kga-it.com