깃허브 저장소 5,561곳 감염 주장, CI/CD 워크플로 주입 공격 경고

• 메갈로돈이라는 이름의 공격 캠페인이 GitHub 저장소 5,000곳 이상을 손상시켰다는 경고가 나왔음.

  • 본문에서 언급된 숫자는 5,561개 저장소임.
  • 공격 방식은 악성 CI/CD 워크플로를 저장소에 주입하는 형태로 설명됨.
  • 타깃은 오픈소스 프로젝트와 조직 저장소 모두가 될 수 있음.

• 핵심 공격면은 GitHub Actions 같은 자동화 파이프라인임.

  • 공격자는 워크플로 YAML 파일에 악성 작업을 끼워 넣는다고 설명됨.
  • 이 작업이 상승된 권한으로 실행되면 저장된 토큰, 환경 변수, SSH 키를 읽어갈 수 있음.
  • 빌드나 배포 단계에서 승인되지 않은 코드를 실행하거나, 저장소 자체를 수정하거나, 통합 서버에 악성 코드를 배포할 수도 있음.

• 이 공격이 까다로운 이유는 자동화가 너무 자연스럽게 돌아간다는 데 있음.

  • CI/CD 파이프라인은 원래 코드가 바뀌면 자동으로 실행되도록 설계돼 있음.
  • 보안 검토가 애플리케이션 코드 변경에 집중되면 워크플로 설정 변경은 상대적으로 대충 지나갈 수 있음.
  • 특히 외부 액션, 저장소 시크릿, 배포 토큰이 얽혀 있으면 작은 YAML 변경 하나가 꽤 큰 권한으로 이어질 수 있음.

• 개발팀 입장에선 당장 봐야 할 지점이 명확함.

  • .github/workflows 변경 이력을 확인하고, 낯선 스텝이나 외부 액션 호출이 들어갔는지 봐야 함.
  • 워크플로 기본 권한을 읽기 전용으로 낮추고, 필요한 작업에만 쓰기 권한을 주는 식의 최소 권한 설정이 중요함.
  • 저장소 시크릿, 배포 토큰, SSH 키는 노출 가능성을 전제로 회전 주기를 가져가는 게 안전함.

• 본문은 공격 캠페인의 기술 디테일을 깊게 풀지는 않지만, 메시지는 꽤 현실적임.

  • 요즘 공급망 공격은 소스 코드보다 빌드·배포 자동화 쪽을 자주 노림.
  • 코드 리뷰는 열심히 하는데 워크플로 파일은 그냥 넘어가는 팀이라면 이게 딱 약점이 됨.
  • GitHub 저장소가 많고 외부 기여가 활발한 오픈소스 프로젝트일수록 워크플로 변경 감시가 더 중요함.

---

기술 맥락

• CI/CD 공격이 무서운 이유는 파이프라인이 원래 신뢰받는 실행 환경이기 때문이에요. 테스트와 배포를 자동으로 돌리려면 저장소 토큰, 클라우드 배포 키, 패키지 배포 권한 같은 민감한 권한이 붙는 경우가 많거든요.

• GitHub Actions에서는 워크플로 YAML이 사실상 실행 계획서 역할을 해요. 여기에 외부 스크립트를 내려받아 실행하거나 환경 변수를 출력하는 스텝이 들어가면, 겉으로는 평범한 빌드처럼 보여도 내부에서는 시크릿 탈취가 일어날 수 있어요.

• 그래서 방어의 핵심은 자동화를 끄는 게 아니라 권한을 쪼개는 거예요. 기본 권한을 낮추고, 배포 작업은 특정 브랜치나 승인된 환경에서만 돌리고, 외부 액션은 버전이나 커밋 해시로 고정해야 위험을 줄일 수 있어요.

• 특히 오픈소스 저장소는 외부 기여가 많아서 워크플로 변경을 코드 변경만큼 엄격하게 봐야 해요. 애플리케이션 로직 몇 줄보다 배포 토큰을 만지는 YAML 한 줄이 더 위험할 수 있거든요.