메갈로돈(Megalodon) GitHub 공급망 공격 내부 분석

GitHub CI 파이프라인을 노린 대규모 자동화 공격

2026년 5월 18일, 보안 연구자들은 **“메갈로돈(Megalodon)”**이라는 이름의 빠르게 확산된 소프트웨어 공급망 공격을 발견했다. 약 6시간 동안 5,718개의 악성 커밋이 5,561개 GitHub 저장소에 푸시된 것으로 확인되며, GitHub 플랫폼을 겨냥한 자동화 저장소 오염 공격 중 가장 큰 사례 중 하나로 평가된다.

흥미로운 점은 공격자가 애플리케이션 소스코드를 직접 바꾸지 않았다는 것이다. 대신 GitHub Actions 워크플로 파일을 삽입해 CI/CD 자동화가 실행될 때마다 비밀 정보와 인증 자격을 수집하도록 설계했다.

공격은 UTC 기준 약 11:36부터 17:48까지 진행됐으며, 짧은 시간에 수천 개 저장소를 감염시킨 점에서 완전히 자동화된 공격 인프라가 사용된 것으로 분석된다.

어떻게 6시간 만에 수천 개 커밋을 밀어 넣었나

메갈로돈 공격은 자동화와 사회공학적 위장을 결합해 정상적인 개발 활동처럼 보이도록 설계됐다.

가짜 CI 봇 계정

공격자는 무작위 이름의 일회용 GitHub 계정을 대량으로 만들고 다음과 같은 자동화 계정처럼 보이는 이름을 사용했다.

• build-bot
• auto-ci
• ci-bot
• pipeline-bot

이렇게 하면 커밋이 사람이 아니라 CI 자동화 시스템이 만든 것처럼 보이게 된다.

위조된 커밋 메타데이터

커밋 메시지와 작성자 정보도 정상적인 작업처럼 보이도록 조작됐다. 예를 들어 "workflow update"나 "CI config tweak" 같은 메시지를 사용해 일상적인 자동화 수정처럼 위장했다.

브랜치 보호가 약한 저장소 집중 공격

공격자는 브랜치 보호 규칙이 약하거나 없는 저장소를 집중적으로 노렸다.

예를 들어 다음과 같은 보호 장치가 없는 저장소였다.

• Pull Request 리뷰 의무 없음
• 워크플로 변경 제한 없음
• 직접 푸시 허용

이 경우 공격자는 기본 브랜치에 바로 워크플로 파일을 추가할 수 있었다.

악성 GitHub Actions 워크플로 주입

각 악성 커밋에는 Base64로 인코딩된 Bash 페이로드가 포함된 GitHub Actions 워크플로가 추가됐다.

CI 파이프라인이 실행되면 해당 스크립트가 GitHub Actions 러너 환경에서 실행되며 자격 증명을 수집하도록 설계됐다.

이 구조 때문에 공격은 즉시 드러나지 않고 다음 CI 실행 시점에야 실제 동작하는 경우가 많았다.

페이로드가 노린 데이터

워크플로에 포함된 Base64 인코딩 스크립트는 CI 환경에서 접근 가능한 다양한 비밀 정보를 수집해 공격자 서버로 전송하도록 만들어졌다.

보고된 주요 탈취 대상은 다음과 같다.

• CI/CD 환경 변수
• 클라우드 자격 증명 (AWS, Google Cloud, Azure)
• SSH 개인 키
• API 토큰 및 애플리케이션 시크릿
• GitHub Actions OIDC 토큰
• 기타 CI 러너에서 접근 가능한 구성 비밀

이 악성 스크립트는 환경 변수와 시스템 정보를 수집한 뒤 공격자 제어 서버로 데이터를 전송하도록 설계됐다.

CI 파이프라인에는 배포용 자격 증명이 포함되는 경우가 많기 때문에, 빌드 환경이 침해되면 클라우드 인프라와 배포 시스템까지 이어질 수 있다.

OIDC 토큰 탈취가 특히 위험한 이유

메갈로돈 공격의 핵심 목표 중 하나는 GitHub Actions OIDC 토큰이었다.

최근 많은 CI/CD 파이프라인은 OpenID Connect(OIDC) 기반 연동 인증을 사용한다. 이 방식은 장기간 유지되는 API 키 대신 짧은 수명의 토큰을 발급해 클라우드 서비스에 접근한다.

예를 들어 GitHub Actions 워크플로는 실행 중에 OIDC 토큰을 요청하고, 클라우드 서비스는 이를 확인한 뒤 **임시 접근 권한(temporary credentials)**을 발급한다.

이 구조는 장기 키를 저장하지 않아 보안성이 높지만, 한 가지 새로운 위험이 생긴다.

파이프라인 실행 중 토큰을 탈취하면 공격자가 해당 CI 작업의 신원을 잠시 동안 그대로 가장할 수 있다는 점이다.

이 경우 공격자는 토큰을 이용해 다음과 같은 권한을 얻을 수 있다.

• 클라우드 인프라 접근
• 배포 파이프라인 장악
• 클라우드 비밀 저장소 접근

OIDC 토큰은 짧은 시간 뒤 만료되지만, 그 짧은 시간 동안에도 상당한 권한을 행사할 수 있다.

왜 이 공격이 중요한가

메갈로돈 사건은 최근 공급망 공격의 방향이 애플리케이션 코드 자체가 아니라 개발 자동화 인프라로 이동하고 있음을 보여준다.

CI 워크플로를 공격하면 다음과 같은 이점이 있다.

• 파이프라인 실행 시 자동으로 자격 증명 탈취
• 클라우드와 배포 시스템 접근
• 자동화 업데이트처럼 보여 탐지 지연

수천 개의 저장소가 강력한 권한을 가진 CI 파이프라인을 사용하기 때문에 단 하나의 워크플로 수정만으로도 여러 시스템의 비밀 정보가 노출될 수 있다.

VS Code 확장 프로그램 사건과의 관계

같은 시기 GitHub는 또 다른 보안 사건을 공개했다. GitHub 직원의 장치에 설치된 악성 Visual Studio Code 확장 프로그램이 공격자에게 접근 권한을 제공해 약 3,800개의 내부 GitHub 저장소가 노출된 사건이다.

이 사건은 트로이 목마 형태로 배포된 VS Code 확장이 개발자 환경에서 토큰과 자격 증명을 수집하면서 발생했다.

일부 보안 보고서는 두 사건이 시간적으로 비슷하고 개발 도구 공급망을 겨냥했다는 점에서 유사성이 있다고 지적한다. 그러나 현재까지 공개된 정보로는 GitHub 내부 침해 사건이 메갈로돈 공격을 직접 가능하게 했다는 증거는 확인되지 않았다.

따라서 현재로서는 두 사건을 동시에 발생한 별도의 공급망 보안 사고로 보는 것이 일반적인 분석이다.

CI/CD 보안에 남긴 교훈

메갈로돈 공격은 자동화가 결합된 공급망 공격이 얼마나 빠르게 확산될 수 있는지를 보여준다.

가짜 봇 계정, 자동화된 커밋, 악성 CI 워크플로가 결합되면서 개발 인프라 자체가 대규모 자격 증명 수집 도구로 바뀌었다.

이번 사건 이후 보안 전문가들이 강조하는 방어 전략은 다음과 같다.

• 강력한 브랜치 보호 정책
• 워크플로 변경 시 필수 코드 리뷰
• CI 작업 최소 권한 설정
• 자동화 계정 및 워크플로 변경 모니터링

소프트웨어 빌드 파이프라인이 클라우드 배포와 운영 인프라까지 연결되는 시대에서 CI/CD 워크플로 보안은 소프트웨어 공급망 방어의 핵심 요소가 되고 있다.