북한 연계 조직, 인기 오픈소스 라이브러리 4개 공격…공급망 보안 또 터졌다

• 북한 연계 해킹 조직이 전 세계 개발자들이 많이 쓰는 오픈소스 라이브러리 4개를 공격한 것으로 확인됐음

  • 아마존 위협정보팀이 공식 보안 보고서를 통해 공개한 내용임
  • 대상은 액시오스(axios), 디버그(debug), 초크(chalk), 타이포-크립토(typo-crypto) 등 유명 라이브러리임

• 이 조직은 보안업계에서 여러 이름으로 불려왔음

  • 사파이어 슬릿, 스타더스트 천리마, 블루 노로프, 케이지 카멜리온 같은 이름이 언급됨
  • 액시오스 공격은 기존에도 알려져 있었지만, 디버그·초크·타이포-크립토 공격까지 같은 조직으로 연결한 분석은 이번이 처음 공개됐다고 함

• 왜 이게 큰일이냐면, 이 라이브러리들이 그냥 ‘어딘가의 작은 패키지’가 아니기 때문임

  • 기사에 따르면 해당 라이브러리들은 주당 수억 회 다운로드되는 개발 구성요소임
  • 개발자들은 이런 오픈소스 라이브러리를 부품처럼 가져와 소프트웨어를 만들기 때문에, 여기에 악성코드가 들어가면 수많은 서비스가 동시에 위험해짐

• 실제 영향 규모도 꽤 세게 나왔음

  • 보안업체 위즈리서치에 따르면 디버그와 초크를 대상으로 한 공격은 단 두 시간 만에 전체 클라우드 환경의 약 10%에 영향을 줬음
  • 아마존은 “소수의 인기 라이브러리를 해킹하면 수천 개의 하위 환경에 동시에 접근할 수 있다”고 분석함

• 공격자 입장에서는 조직을 하나씩 뚫는 것보다 인기 패키지 하나를 노리는 게 훨씬 효율적임

  • 회사별 방화벽이나 계정 보안을 뚫지 않아도, 모두가 믿고 가져다 쓰는 의존성 경로를 타면 됨
  • 특히 자바스크립트 생태계처럼 하위 의존성이 깊고 배포 속도가 빠른 환경에서는 피해 전파도 빨라짐

sequenceDiagram
    participant 공격조직 as 북한 연계 조직
    participant 패키지 as 인기 오픈소스 라이브러리
    participant 개발자 as 개발자 프로젝트
    participant 배포 as 빌드·배포 환경
    participant 클라우드 as 클라우드 서비스
    공격조직->>패키지: 악성 코드 삽입 시도
    패키지->>개발자: 의존성 업데이트로 전파
    개발자->>배포: 빌드와 배포 파이프라인 실행
    배포->>클라우드: 서비스 환경에 반영
    클라우드-->>공격조직: 접근 경로와 피해 확대

• 가상자산 해킹 쪽에서도 북한 연계 조직 비중이 컸음
  • 블록에이드의 2026년 상반기 온체인 보안 보고서에 따르면 1월부터 6월까지 전 세계 가상자산 해킹 피해액은 총 11억 달러였음
  • 이 중 라자루스 그룹 산하 트레이더트레이터가 6억9천만 달러를 탈취해 전체 피해액의 55%를 차지한 것으로 분석됨

• 한국 개발팀도 이 이슈를 남 얘기로 보기 어려움
  • axios, debug, chalk 같은 패키지는 국내 서비스 개발 환경에서도 흔하게 쓰임
  • 의존성 잠금 파일, 패키지 서명, 배포 권한, CI 비밀값 관리, 이상 버전 탐지 같은 기본기가 실제 방어선이 됨

기술 맥락

• 이번 사건의 핵심은 공격 대상이 서비스 서버가 아니라 개발자가 믿고 가져다 쓰는 오픈소스 의존성이라는 점이에요. 공격자는 개별 회사를 하나씩 뚫는 대신, 주당 수억 회 다운로드되는 인기 패키지를 노려서 훨씬 넓은 범위로 퍼질 수 있는 길을 택한 거예요.

• axios, debug, chalk 같은 패키지가 위험한 이유는 직접 의존성뿐 아니라 하위 의존성으로도 들어올 수 있기 때문이에요. 개발자가 package.json에서 못 봤더라도 다른 패키지가 끌고 들어오면 빌드 과정에 포함될 수 있거든요.

• 클라우드 환경 10%가 두 시간 만에 영향을 받았다는 분석은 배포 자동화의 양면성을 보여줘요. CI/CD가 빠르게 퍼뜨리는 건 정상 코드만이 아니라 오염된 의존성도 마찬가지라서, 속도가 곧 리스크가 될 수 있어요.

• 그래서 방어는 런타임 보안만으로 끝나지 않아요. 잠금 파일 검토, 의존성 업데이트 정책, 패키지 출처 확인, 빌드 환경의 비밀값 제한처럼 개발 파이프라인 전체를 같이 봐야 해요.