무슨 일이 있었나
2026년 5월, GitHub가 침해 사실을 확인했습니다. 5월 19일 범죄 조직 TeamPCP는 유출 포럼(Breached)에 GitHub 내부 소스 코드와 조직 데이터, 약 "4,000개의 비공개 코드 저장소"를 최소 5만 달러에 판다고 올렸습니다. 구매자가 없으면 모두 무료로 공개하겠다고 위협했습니다.
같은 날 GitHub는 내부 저장소에 대한 무단 접근을 조사 중이라고 밝혔고, 5월 20일 공식 X 계정을 통해 사고를 확인했습니다.
"현재 평가로는 이번 활동은 GitHub 내부 저장소의 유출에만 해당합니다. 공격자가 주장하는 약 3,800개라는 수치는 지금까지의 조사와 대체로 일치합니다."
공격자는 어떻게 들어왔나
진입점은 GitHub 직원 한 명의 컴퓨터에 설치된 오염된 VS Code 확장 프로그램이었습니다. 5월 21일, 그 확장이 합법적이고 인기 있는 도구인 Nx Console이라는 사실이 밝혀졌습니다. 악성 버전(18.95.0, CVE-2026-48027)은 Visual Studio Marketplace에 약 18분 동안 게시되어 있었고, 그것으로 충분했습니다.
Nx Console의 보안 공지에 따르면, 프로젝트 개발자 계정은 이미 "Mini Shai-Hulud" 캠페인의 일부인 TanStack 공급망 공격에서 탈취된 상태였습니다. 공격자들은 훔친 자격 증명으로 Nx Console 저장소의 워크플로를 실행해 변조된 버전을 배포했습니다.
GitHub의 대응
- 악성 버전을 삭제하고 해당 기기를 격리
- 영향이 큰 자격 증명부터 밤사이 핵심 비밀 정보를 교체
- 고객 데이터, 고객 저장소, 운영 시스템에 영향이 있다는 증거는 없다고 발표
- 조사가 끝나면 전체 보고서를 공개하겠다고 약속
훨씬 큰 캠페인
GitHub는 더 큰 공격 물결에서 가장 유명한 피해자였습니다. Tenable에 따르면 Mini Shai-Hulud 캠페인은 npm과 PyPI에서 170개 이상의 패키지를 침해했으며, 이들의 주간 다운로드는 합계 5억 1,800만 회 이상입니다. OX Security는 훔친 자격 증명을 보관하려고 만든 GitHub 저장소를 최소 400개 확인했습니다. TeamPCP는 수개월간 오픈소스 생태계를 공격해 왔고, 구글도 AI·개발 환경을 노리는 그룹(UNC6780)으로 지목했습니다.
참고: 일부 자료는 침해 시점을 2026년 6월로 적고 있지만, GitHub와 보안 전문 매체에 따르면 정확한 날짜는 2026년 5월 19~21일입니다.
모든 기업을 위한 교훈
- IDE 확장은 전체 권한을 가진 소프트웨어입니다. 허용 목록을 만들고 나머지는 차단하세요.
- 자동 업데이트가 항상 안전하지는 않습니다. 18분이면 충분했습니다. 확장과 패키지 업데이트를 며칠 늦추는 것도 고려하세요.
- 메인테이너 계정을 보안 키와 단기 토큰으로 보호하세요.
- 개발 장비와 운영 비밀 정보를 분리하세요.
- GitHub처럼 비밀 정보를 빠르게 교체할 계획을 세워 두세요.
출처
- Help Net Security(2026년 5월 20일): https://www.helpnetsecurity.com/2026/05/20/github-breached-teampcp/
- BleepingComputer: https://www.bleepingcomputer.com/news/security/github-investigates-internal-repositories-breach-claimed-by-teampcp/
- Dark Reading: https://www.darkreading.com/application-security/github-confirms-breach-4k-internal-repos-stolen
- Tenable, Mini Shai-Hulud FAQ: https://www.tenable.com/blog/mini-shai-hulud-frequently-asked-questions
확장 프로그램부터 패키지까지 개발 환경의 보안을 점검하고 싶으신가요? KGA IT는 무료 상담을 제공합니다: kga-it.com