깃허브 저장소 1만 개가 악성코드 배포처였다 — 오픈소스 신뢰가 통째로 무기화되는 시대

개발자라면 하루에도 몇 번씩 깃허브를 엽니다. 검색하고, 복사하고, 별표를 누르고, 그대로 클론합니다. 그런데 그 익숙한 동작 하나하나가 공격의 입구가 될 수 있다면 어떨까요. 최근 보안 업계가 주목하는 대규모 캠페인은 정확히 이 지점을 노립니다. 정상처럼 위장한 저장소를 대량으로 뿌려, 개발자의 신뢰 그 자체를 공격 표면으로 삼는 방식입니다.

왜 하필 깃허브였나

먼저 한 가지 짚고 넘어가겠습니다. 이번 글에서 다루는 “1만 개 저장소” 수치는 보안 리서치 진영에서 반복적으로 거론돼 온 대규모 위장 캠페인의 규모를 가리킵니다. 다만 지난 30일 사이 새로 확인된 커뮤니티 토론 데이터는 제한적이었습니다. 그래서 최신 단독 속보라기보다, 오픈소스 공급망이 어떻게 공략당하는지를 보여주는 대표 사례로 읽어주시면 좋겠습니다.

공격자가 깃허브를 노리는 이유는 단순합니다. 신뢰가 기본값이기 때문입니다. 우리는 별표가 많고, 커밋 이력이 그럴듯하고, README가 깔끔하면 일단 믿습니다. 공격자는 바로 그 휴리스틱을 역이용합니다. 멀쩡해 보이는 껍데기를 만드는 비용은 거의 0에 가깝습니다.

미끼는 어떻게 만들어지나

핵심 수법은 대량 복제입니다. 인기 있는 정상 프로젝트를 그대로 포크하거나 통째로 복사한 뒤, 그 안에 악성 코드 한 조각을 끼워 넣습니다. 겉모습은 원본과 99퍼센트 같습니다. 차이는 빌드 스크립트 한 줄, 혹은 깊숙이 숨겨진 의존성 하나입니다.

이런 가짜 저장소를 수천에서 수만 개 단위로 찍어내면, 검색 결과와 추천 알고리즘을 오염시킬 수 있습니다. “마인크래프트 치트”, “게임 핵”, “무료 트레이딩 봇”, “크랙된 소프트웨어” 같은 키워드를 노리는 경우가 많습니다. 절박하거나 검증을 건너뛰기 쉬운 사용자를 정확히 겨냥하는 겁니다.

자동 생성된 별표와 가짜 계정으로 인기도를 부풀리는 것도 단골 수법입니다. 숫자가 곧 신뢰로 환산되는 생태계의 허점을 그대로 파고듭니다.

진짜 위험은 “한 번의 실행”

트로이목마의 무서운 점은 작동 방식이 평범하다는 데 있습니다. 사용자가 코드를 받아 실행하는 순간, 정상 기능은 정상대로 돌아갑니다. 게임 치트는 실제로 작동하고, 봇은 실제로 거래를 흉내 냅니다. 그래서 피해자는 의심하지 못합니다.

그 사이 뒤에서는 다른 일이 벌어집니다. 브라우저에 저장된 비밀번호, 암호화폐 지갑, 디스코드 토큰, 클립보드에 복사한 지갑 주소 같은 것들이 조용히 빠져나갑니다. 이런 정보 탈취형 악성코드를 흔히 인포스틸러라고 부릅니다. 한 번의 실행으로 디지털 신원 전체가 털릴 수 있습니다.

개발자가 대상이 되면 피해는 더 커집니다. 사내 자격 증명이나 API 키가 새어 나가면, 한 사람의 실수가 조직 전체의 침해로 번집니다. 공급망 공격이 무서운 이유가 바로 이 연쇄성입니다.

우리가 믿던 신호들이 흔들린다

이번 사례의 본질은 기술이 아니라 신뢰의 문제입니다. 우리는 그동안 별표 수, 포크 수, 활발한 커밋을 “안전하다"는 신호로 받아들였습니다. 하지만 이 신호들은 전부 위조 가능합니다.

특히 요즘은 AI 도구로 그럴듯한 코드와 문서를 대량으로 찍어내기가 쉬워졌습니다. 진짜와 가짜를 눈으로 구분하기는 점점 더 어려워집니다. “오픈소스니까 누군가 봤겠지"라는 막연한 믿음이, 실제로는 아무도 제대로 들여다보지 않은 빈틈일 수 있습니다.

그래서 무엇을 해야 하나

거창한 보안 솔루션 이야기는 잠시 접어두겠습니다. 실천 가능한 것부터 정리해봤습니다.

첫째, 출처를 의심하세요. 별표가 많다고 안전한 게 아닙니다. 메인테이너의 활동 이력, 다른 진짜 프로젝트와의 연결고리, 이슈와 PR의 실제 대화 흔적을 확인하는 습관이 필요합니다.

둘째, 실행 전에 빌드 스크립트와 의존성을 한 번은 들여다보세요. 특히 설치 과정에서 외부 주소로 무언가를 내려받는 코드가 있다면 경계해야 합니다.

셋째, “크랙”, “무료 프리미엄”, “자동 수익” 같은 단어가 붙은 저장소는 기본적으로 위험하다고 보는 편이 안전합니다. 공짜로 보이는 것에는 대개 값이 매겨져 있습니다.

오픈소스의 힘은 신뢰에서 나옵니다. 그런데 그 신뢰가 공격의 재료가 되는 시대에 우리는 들어와 있습니다. 여러분이 마지막으로 클론한 저장소, 정말 안전하다고 확신하시나요. 그 질문을 한 번쯤 던져보는 것만으로도 절반은 막을 수 있습니다.