---
title: "북한 해킹 조직, 인기 오픈소스 4종 공급망 공격"
published: 2026-07-31T01:05:03.056Z
canonical: https://jeff.news/article/5260
---
# 북한 해킹 조직, 인기 오픈소스 4종 공급망 공격

북한 연계 해킹 조직이 액시오스, 디버그, 초크, 타이포-크립토 등 인기 오픈소스 라이브러리 4개를 공격한 사실이 아마존 보고서로 확인됐다. 특히 디버그와 초크 공격은 불과 2시간 만에 전체 클라우드 환경의 약 10%에 영향을 준 것으로 분석돼, 오픈소스 공급망 공격의 파급력이 다시 드러났다.

> [!WARNING]
> 이번 건은 “누가 이상한 패키지 하나 깔았다” 수준이 아님. 인기 오픈소스 라이브러리 업데이트 경로가 뚫리면 자동 업데이트를 타고 정상 배포처럼 악성 코드가 퍼질 수 있음.

- 북한 연계 해킹 조직이 전 세계 개발자들이 쓰는 유명 오픈소스 라이브러리 4개를 공격한 것으로 확인됨
  - 아마존 위협정보팀은 액시오스(axios), 디버그(debug), 초크(chalk), 타이포-크립토(typo-crypto) 공격이 모두 같은 북한 연계 조직의 소행이라고 공개함
  - 이 조직은 보안 업계에서 사파이어 슬릿, 스타더스트 천리마, 블루 노로프, 케이지 카멜리온 같은 이름으로 추적돼 온 그룹임

- 포인트는 “인기 패키지 몇 개만 건드려도 공격 범위가 말도 안 되게 커진다”는 것
  - 오픈소스 라이브러리는 개발자가 공통 기능을 가져다 쓰는 소프트웨어 부품이라, 앱과 서비스 내부에 넓게 박혀 있음
  - 여기에 악성 코드가 섞이면 그 라이브러리를 쓰는 수많은 프로그램이 동시에 위험해짐
  - 아마존은 소수의 인기 라이브러리만 침해해도 수천 개 하위 시스템에 접근할 수 있다고 설명함

- 실제 파급력 숫자가 꽤 세다
  - 공격 대상 라이브러리들은 일주일에 수억 회씩 다운로드되는 인기 패키지로 소개됨
  - 보안업체 위즈리서치는 디버그와 초크 공격만으로도 불과 2시간 만에 전체 클라우드 환경의 약 10%가 영향을 받은 것으로 분석함
  - 이 정도면 “우리 서비스는 직접 공격 안 받았으니 괜찮다”가 통하지 않는 영역임

- 기존에는 액시오스 공격만 이 조직과 연결된 것으로 알려졌는데, 이번에 나머지 3개까지 같은 배후로 묶임
  - 즉 단발성 사고라기보다, 개발 생태계의 핵심 의존성을 노리는 조직적 패턴으로 보는 게 맞음
  - 개별 기관을 하나씩 뚫는 것보다 인기 라이브러리 하나를 오염시키는 게 훨씬 효율적인 공격이라는 계산이 깔려 있음

- 가상자산 해킹과도 연결된 맥락이 있음
  - 블록에이드는 올해 상반기 전 세계 가상자산 해킹 피해액 11억 달러 중 약 6억9천만 달러를 북한 라자루스 그룹 산하 트레이더트레이터가 탈취한 것으로 분석함
  - 전체 피해의 55% 수준이라, 단순한 보안 사고가 아니라 자금 조달까지 이어지는 공격 생태계로 봐야 함

---
## 기술 맥락

- 이번 사건에서 핵심 선택지는 “패키지를 믿고 자동으로 받는 구조를 어디까지 허용할 거냐”예요. 오픈소스 생태계는 빠른 업데이트가 장점인데, 그 속도가 악성 업데이트 확산 속도로도 그대로 바뀌거든요.

- 개발팀 입장에서는 의존성 잠금 파일과 배포 승인 절차가 왜 중요한지 다시 보게 돼요. 패키지 버전이 자동으로 올라가면 편하긴 한데, 유지 관리 계정이 뚫렸을 때 감염된 버전도 똑같이 자연스럽게 들어올 수 있어요.

- 클라우드 환경 약 10%가 2시간 만에 영향을 받았다는 분석은 공격 범위가 애플리케이션 코드에만 머물지 않는다는 뜻이에요. 빌드, 배포, 런타임 이미지까지 이어지는 전체 파이프라인에서 의존성을 검증해야 하는 이유가 여기에 있어요.

## 핵심 포인트

- 아마존 위협정보팀이 인기 오픈소스 라이브러리 4개 공격을 동일한 북한 연계 조직의 소행으로 지목
- 디버그와 초크 공격은 2시간 만에 전체 클라우드 환경 약 10%에 영향
- 소수의 인기 라이브러리 침해만으로 수천 개 하위 시스템에 접근할 수 있는 공급망 공격 구조가 핵심

## 인사이트

이건 특정 회사 하나 털린 뉴스가 아니라, 개발자들이 매일 설치하는 패키지 생태계가 공격 표면이 됐다는 얘기다. 한국 팀들도 의존성 잠금, 패키지 서명, 배포 파이프라인 검증을 더 이상 선택 사항처럼 보면 안 됨.