--- title: "아마존, 북한 해킹 조직의 오픈소스 공급망 공격을 공개" published: 2026-07-30T16:05:05.528Z canonical: https://jeff.news/article/5242 --- # 아마존, 북한 해킹 조직의 오픈소스 공급망 공격을 공개 아마존이 axios, debug, chalk, typo-crypto 침해 사건을 같은 북한 연계 해킹 조직의 활동으로 연결했어. 인기 오픈소스 라이브러리 유지관리자를 노린 뒤 악성 업데이트를 뿌리는 방식이라, 한 번 성공하면 수많은 개발 환경으로 퍼질 수 있다는 게 핵심이야. - 아마존이 북한 연계 해킹 조직의 오픈소스 공급망 공격을 새로 정리해 공개함 - 대상은 전 세계 개발자가 쓰는 오픈소스 라이브러리 4개: axios, debug, chalk, typo-crypto - 이 중 axios는 주간 다운로드가 1억 회를 넘는 초대형 의존성이라, 한 번 오염되면 파급 범위가 말 그대로 글로벌임 - 아마존의 핵심 주장은 “이 사건들이 따로따로가 아니라 같은 북한 연계 조직의 작업”이라는 것임 - axios 사건은 이미 북한 조직과 연결된 바 있었지만, typo-crypto, debug, chalk까지 같은 조직으로 묶어 공개한 건 이번이 처음이라고 함 - 보안 업계에서는 이 그룹을 사파이어 슬릿, 스타더스트 천리마, 블루노로프, 케이지 카멜레온, 얼루링 피시스 같은 여러 이름으로 추적해왔음 > [!IMPORTANT] > debug와 chalk 공급망 사건은 두 시간 만에 전체 클라우드 환경의 약 10%에 영향을 준 것으로 분석됨. 인기 패키지 하나가 뚫리면 감염 속도가 서비스 장애급으로 빨라질 수 있다는 얘기임. - 공격 방식은 꽤 익숙하지만, 그래서 더 무서움 - 해커가 라이브러리의 신뢰받는 유지관리자를 소셜 엔지니어링으로 공략함 - 접근 권한을 얻은 뒤 악성 코드가 들어간 업데이트를 배포함 - 자동 업데이트가 켜진 조직은 별도 판단 없이 감염된 버전을 받아가게 됨 - 아마존은 이 방식이 “조직을 하나씩 공격하는 것보다 훨씬 효율적”이라고 봄 - 인기 라이브러리 몇 개만 침해해도 수천 개 하위 환경에 동시에 닿을 수 있음 - 개발팀 입장에서는 직접 해킹당한 적이 없어도, 의존성 업데이트 하나로 내부 환경에 악성 코드가 들어올 수 있는 구조임 - 최근 수법은 더 교묘해지는 중임 - 악성 코드를 하나의 패키지에 몰아넣지 않고, 겉보기엔 무해한 여러 패키지로 쪼개 배포함 - 각각은 정상처럼 보이지만 함께 설치되거나 함께 실행될 때 공격이 완성되는 식임 - 공개 저장소에 올라온 라이브러리는 멀쩡해 보이게 두고, 나중에 외부 서버에서 악성 기능을 내려받는 방식도 확인됨 - 인공지능 활용이 새 리스크로 올라왔다는 점도 포인트임 - 공격자가 자연스러운 코드, 그럴듯한 문서, 가짜 관리자 신원까지 만들 수 있게 됨 - 예전에는 악성 패키지에서 보이던 어색한 설명, 이상한 코드 스타일, 허술한 계정 정보 같은 단서가 점점 사라질 수 있음 - 아마존은 앞으로 인공지능 기반 코드 검사 시스템 자체를 속이려는 공격도 늘어날 것으로 봄 > [!WARNING] > 패키지 이름만 보고, 다운로드 수만 보고, 문서가 그럴듯하다는 이유만으로 신뢰하기 어려워졌음. 배포 권한과 업데이트 경로까지 검증 범위에 넣어야 함. - 배경에는 북한의 사이버 자금 조달 이슈도 깔려 있음 - 미국 정부는 북한이 핵·미사일 개발 자금의 상당 부분을 사이버 공격으로 조달한다고 보고 있음 - 오픈소스 생태계 공격은 단순 기술 범죄가 아니라 국가 단위 위협 행위와 연결되는 흐름으로 봐야 함 --- ## 기술 맥락 - 이번 사건에서 중요한 선택지는 “패키지를 믿을 것인가”가 아니라 “배포 경로를 어디까지 검증할 것인가”예요. 공격자는 라이브러리 코드보다 유지관리자 권한과 자동 업데이트 흐름을 노렸거든요. - 자동 업데이트는 개발 속도를 올려주지만, 공급망 공격에서는 감염 확산 속도도 같이 올려요. debug와 chalk 사례처럼 두 시간 만에 클라우드 환경 약 10%에 영향이 갈 수 있다면, 잠금 파일과 승인된 버전 승격 절차가 귀찮은 관리 포인트가 아니라 방어선이 돼요. - 악성 기능을 여러 패키지로 쪼개는 방식은 정적 분석만으로 잡기 어려워요. 패키지 하나만 보면 정상처럼 보이기 때문에, 설치 조합과 런타임 외부 호출까지 봐야 공격 의도가 드러나거든요. - 인공지능이 들어오면 리뷰 기준도 바뀌어요. 문서가 자연스럽고 코드가 깔끔하다는 신호만으로는 부족하고, 관리자 이력, 배포 권한 변경, 새 버전의 네트워크 동작 같은 운영 신호를 같이 봐야 해요. ## 핵심 포인트 - axios는 주간 다운로드가 1억 회를 넘는 인기 라이브러리라 공급망 공격 파급력이 큼 - debug와 chalk 사건은 두 시간 만에 전체 클라우드 환경의 약 10%에 영향을 준 것으로 분석됨 - 북한 연계 조직은 악성 기능을 여러 패키지로 쪼개거나 외부 서버에서 나중에 내려받는 식으로 탐지를 피함 - 인공지능을 활용해 자연스러운 코드, 문서, 가짜 관리자 신원까지 만들면서 기존 탐지 신호가 약해지고 있음 ## 인사이트 오픈소스 공급망 공격은 이제 ‘이상한 패키지 조심’ 수준을 넘어섰어. 유지관리자 계정, 자동 업데이트, 의존성 체인 전체를 운영 리스크로 봐야 하는 단계에 들어간 셈이야.