개발자가 사용하는 IDE 확장은 로컬 시스템에서 코드를 실행할 수 있기 때문에 파일, 토큰, 개발 환경 등 다양한 리소스에 접근할 수 있다. 이런 특성 때문에 신뢰된 개발 도구 자체가 공격 경로가 되는 상황이 발생했다.
이번 공격은 TeamPCP라는 위협 행위자가 자신들의 소행이라고 주장했다. 이 그룹은 사이버 범죄 포럼에서 GitHub의 내부 소스 코드와 조직 데이터 판매를 시도한 것으로 알려졌다.
GitHub는 초기 대응에서 특정 그룹을 공식적으로 지목하지는 않았지만, 여러 보안 분석 보고서에서는 이번 사건을 TeamPCP 활동과 연결해 설명하고 있다.
2026년 들어 TeamPCP는 개발 생태계를 겨냥한 대규모 공급망 공격(supply‑chain attack) 활동으로 주목받고 있다.
이 방식은 최근 공급망 공격에서 자주 사용되는 전략이다. 플랫폼 자체를 공격하기보다 개발자 환경을 먼저 침해한 뒤 내부 시스템으로 이동하는 방식이다.
GitHub는 이상 활동을 감지한 직후 공격을 차단했다고 밝혔다. 회사가 즉각 수행한 주요 대응 조치는 다음과 같다.
현재까지의 조사 결과에 따르면 이번 사고는 GitHub 내부 저장소에만 국한된 것으로 보인다.
이는 중요한 차이다. GitHub에는 전 세계 수많은 개발자와 기업의 코드가 저장되어 있지만, 이번 사건에서 접근된 저장소는 GitHub 자체 엔지니어링 환경의 내부 코드였다.
이 캠페인은 개발 생태계의 여러 요소를 동시에 겨냥한다.
연구자들은 이를 신뢰된 의존성과 개발 도구를 통해 확산되는 자기 전파형 공급망 공격으로 설명한다.
GitHub 고객 데이터가 직접적으로 영향을 받지 않았다는 점에도 불구하고, 이번 사건은 소프트웨어 보안 환경의 중요한 변화를 보여준다.
최근 공격자들은 인프라 대신 다음과 같은 지점을 노리고 있다.
이 환경에는 종종 클라우드 키, 토큰, 배포 권한 등 매우 민감한 비밀 정보가 저장되어 있기 때문이다.
GitHub 사건은 단 하나의 악성 개발 도구가 수천 개 저장소 접근으로 이어질 수 있다는 사실을 보여준다. 이는 현대 소프트웨어 개발에서 공급망 보안이 가장 중요한 과제 중 하나가 되었음을 다시 한 번 드러낸 사례다.
Comments
0 comments