경찰청 국가수사본부는 최근 소프트웨어 개발 플랫폼인 깃허브(GitHub)에서 다수의 계정 접속 권한이 외부로 유출된 사실을 확인하고, 추가 피해를 막기 위해 긴급 보안 권고문을 배포한다고 14일 밝혔다.
깃허브는 마이크로소프트가 운영하는 소프트웨어 개발 기반으로, 전 세계 기업과 개인 개발자들이 소스 코드를 저장·관리하고 공유하는 데 널리 사용된다. 이번에 유출된 정보는 '개인 액세스 토큰(PAT, Personal Access Token)'으로, 사용자가 깃허브의 비공개 저장소에 접근할 때 필요한 인증 수단이다.
해커가 이 토큰을 악용하면 피해자의 비공개 저장소에 침입해 정보통신시스템 접속에 필요한 각종 정보를 빼낼 수 있다. 이를 통해 개인이나 기업의 주요 시스템에 추가로 침투한 뒤 개인 정보나 기업 기밀 등 민감한 자료를 탈취할 가능성이 있어 각별한 주의가 요구된다.
경찰은 깃허브 비공개 저장소를 사용하는 모든 기업과 개인에게 우선 자신의 계정에 무단 접근 흔적이 있는지 점검하라고 당부했다. 또 기존에 발급된 개인 액세스 토큰은 즉시 폐기하고 새로운 토큰으로 재발급받아야 한다.
추가 해킹 피해를 예방하기 위해서는 기본적인 보안 수칙을 철저히 지키는 것이 중요하다. 경찰은 △접근 권한을 다중 인증으로 설정하고 최소화·세분화할 것 △소스 코드 내에 주요 시스템 접속 정보를 절대 기재하지 말 것 △개발자가 사용하는 PC의 보안 상태를 주기적으로 점검할 것을 권고했다.
경찰은 이번 깃허브 접속 권한 유출 사건에 대해 수사를 진행 중이며, 유출된 개인 액세스 토큰 사용자들과 깃허브 측에 보안 조치를 취하도록 통보했다. 깃허브 측은 유출된 토큰을 폐기하고 해당 이용자들에게 경보를 발송하는 등 필요한 조치를 수행했다고 전해졌다.
경찰은 앞으로 추가 위협 정보가 확인되는 대로 관계 기관과 기업에 신속히 공유하는 한편, 유사한 사이버 공격에 대비해 민·관 협력 체계를 강화하고 대응 역량을 지속적으로 높여 나갈 방침이다.
경찰청 박우현 사이버수사심의관은 "이번 사례는 공격자들이 기업의 정보통신망뿐만 아니라 개발 기반 자체를 공격 대상으로 삼은 점이 적발된 사례"라며 "기업과 개인 개발자들의 신속한 보안 조치가 반드시 필요하다"고 강조했다. 이어 "범죄 피해가 발생했거나 의심 징후를 발견하면 즉시 경찰에 신고해 달라"고 당부했다.
