비공개 저장소 노린 ‘개인 액세스 토큰’ 탈취 정황 발견
로그 점검·접속 키 관리·스캐닝 기능 활성화 권고

[보안뉴스 조재호 기자] 경찰청 국가수사본부 수사국 사이버테러대응과는 국내외 기업과 개발자가 사용하는 소프트웨어 개발 플랫폼 깃허브(GitHub)의 ‘개인 액세스 토큰’(PAT) 다수가 유출된 정황을 파악하고 14일 긴급 보안 권고문을 발표했다.


[출처: 연합]

경찰청 수사 결과에 따르면, 해커들은 유출된 PAT를 활용해 피해자 비공개 저장소에 무단 접근할 수 있다. 이를 통해 주요 시스템 접속에 필요한 내부 정보를 확보하고, 기업 시스템에 깊숙이 침입해 민감한 중요 자료를 탈취할 위험성이 높다.

피해 확산을 막기 위해 경찰청은 깃허브 비공개 저장소를 운영하는 모든 주체에게 긴급 보안 조치를 권고했다.

우선, 무단 접근 여부를 확인하기 위해 사용자의 깃허브 로그(Audit, Security) 등을 통해 최근 1~3개월간 비정상적인 접근기록이나, 사용하지 않는 IP 주소 접속 및 업무 시간 외 소스코드 다운로드·변경 이력 점검이 필요하다.

침해 정황이 확인될 경우, 기존 PAT를 즉시 폐기하고 재발급하는 조치가 필요하다. 비공개 저장소 소스코드가 탈취됐을 가능성을 고려해 코드 내부에 기재된 데이터베이스 접속 패스워드를 비롯해 AWS, Azure, GCP 등 클라우드 서비스 접근 키와 범용 API Key 등 자격 증명을 즉시 무효화해야 한다. 또, 사전 예방 차원에서 PAT 재발급받는 것이 안전하다고 덧붙였다.

해킹 예방과 피해 최소화를 위한 보안 수칙도 제시했다. 일회용 인증번호(TOTP)와 보안키 등을 활용한 2단계 인증 적용을 시작으로, 모든 저장소 권한을 포괄하는 PAT 사용을 최소화하고, 특정 저장소 읽기 전용 등 필요 권한만 세분화해 부여하는 최소 권한 원칙 등이다.

개발 환경 내부 취약점 점검에 대해서도 강조했다. 주요 시스템 접속 정보를 소스 코드에 평문으로 하드코딩하는 행위를 금하고, ‘비밀정보 매니저’(Secret Manager)를 도입해 인증 정보를 코드와 분리해야 한다. 깃허브 설정에서는 ‘비밀정보 스캐닝’(Secret Scanning)과 ‘푸시 보호’(Push Protection) 기능을 활성화해 PAT나 API Key가 소스코드에 포함돼 저장되는 것을 탐지하고 차단하고, 주기적인 점검을 권했다.

이외에도 고정 IP 기반 가상사설망(VPN) 등 허용된 환경에서만 조직과 저장소에 접근하도록 ‘IP 허용 목록’(IP Allow List)을 설정해야 한다. 최근 VS Code 등 개발 도구 위장 악성 확장 프로그램이나 피싱을 통해 토큰이 유출되는 사례가 보고되는 만큼, 개발자 PC 보안에 대한 주기적 점검이 병행돼야 한다.

이번 보안 권고는 민간 개발 플랫폼의 보안 사각지대가 기업 생존 리스크로 작용할 수 있음을 시사한다. 클라우드 인프라 확장에 따라 코드 저장소에 보관된 자격 증명 탈취가 기업 내부망 전체 위협으로 이어질 수 있는 만큼, 개발자의 보안 인식 제고와 함께 시크릿 스캐닝 등 자동화된 탐지 도구 적용 및 권한 최소화 원칙 등 기업 차원의 보안 정책 정비가 뒷받침돼야 할 시점이다.

[조재호 기자(zephyr@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>