악성 코드의 작동 방식은 단순하지만 치명적이었습니다. 개발자가 플러그인 설정 패널에 자신의 API 키를 붙여넣고 ‘적용(Apply)’ 버튼을 클릭하는 순간, 키는 평문(암호화되지 않은 텍스트) 그대로 하드코딩된 공격자의 서버로 즉시 전송되었습니다 . 이 모든 과정은 조용히 진행되었고, 플러그인은 겉으로 보기에 정상적으로 작동했기 때문에 사용자는 자신의 비밀 키가 탈취당했다는 사실을 전혀 눈치챌 수 없었습니다.

Aikido는 공격자들의 뻔뻔함을 보여주는 한 가지 흥미로운 세부 사항도 전했습니다. 일부 악성코드 변종에는 유료 결제 기능까지 포함되어 있었는데, 피해자가 소정의 이용료를 지불하면 ‘정상 작동하는’ API 키를 받을 수 있었습니다. 물론 이 키는 공격자에게 털린 또 다른 피해자의 것일 가능성이 큽니다 .

공격 타임라인과 피해 규모

Aikido의 분석에 따르면, 이 악성 플러그인들 중 첫 번째는 2025년 10월에 등장했으며, 2026년 6월까지도 새로운 플러그인이 계속 게시되고 있었습니다 . 이는 공식 마켓플레이스에서 무려 8개월 이상 동안 탐지되지 않고 악성 활동이 지속되었다는 것을 의미합니다.

적발 당시, 7개의 가짜 개발사 계정을 통해 유포된 15개의 플러그인은 총합 약 7만 회의 설치 기록을 보유하고 있었습니다 . 이러한 규모와 조직성을 고려할 때, 이번 작전은 젯브레인 마켓플레이스를 뚫은 최초의 조직적인 멀웨어 캠페인일 가능성이 높습니다 .

이 사건은 단독으로 발생한 것이 아닙니다. 공격자들은 ‘클로드 코드(Claude Code)’, ‘JetBrains’, ‘클라인(Cline)’ 등을 사칭한 88개 이상의 가짜 설치 프로그램 웹사이트 네트워크를 만들어 구글 광고를 집행했고, 이를 통해 유입된 개발자들의 인증 정보를 노렸습니다 . 두 작전을 함께 놓고 보면, AI 개발자들의 ‘비밀’을 집요하게 노리는 다각적이고 의도적인 공세라는 것을 알 수 있습니다.

AI 크리덴셜을 향한 광범위한 공격

이번 젯브레인 마켓플레이스 공격은 소프트웨어 공급망 전반에 걸친 위험한 트렌드의 일부입니다. 최근 몇 년간 거대 언어 모델(LLM)의 API 키는 공격자들의 주요 표적이 되었습니다. 키 하나만 탈취해도 막대한 추론 비용을 발생시키거나, 사내 모델 및 데이터에 접근해 2차 피해를 일으킬 수 있기 때문입니다.

• npm 생태계 오염: 2026년 초, 주간 다운로드 수가 약 2만 8천 건에 달하던 codexui-android라는 npm 패키지가 만료되지 않는 OpenAI OAuth 리프레시 토큰을 빼돌린 사실이 적발되었습니다. 공격자들은 이 트래픽을 일상적인 ‘Sentry 원격 측정’ 데이터인 것처럼 위장했습니다 .
• 지속적인 공급망 위협: 2025년에는 141개의 Mastra npm 패키지가 손상되어 설치 시점에 악성 코드를 주입하는 사건이 일어나는 등, 개발 생태계의 취약성은 계속해서 드러나고 있습니다 .

IDE 플러그인은 특히 고가치 표적입니다. 젯브레인 환경 내에서 플러그인은 IDE 프로세스에 대한 전체 접근 권한을 가지고 실행됩니다. 즉, 소스 코드를 읽고, 저장된 비밀 키에 접근하며, 파일을 수정하고, 네트워크 연결을 시작할 수 있다는 뜻입니다 . 악성 플러그인은 단순한 이론적 위협이 아니라, 개발자가 접촉하는 모든 것에 침투할 수 있는 실질적인 백도어입니다. 사후 분석에서 지적되었듯, 이제 IDE에 연결된 AI 도우미는 소스 코드, SSH 키, 클라우드 크리덴셜 바로 옆에 위치한 **‘고권한 자동화 표면’**이 되었습니다 .

개발자를 위한 긴급 대응 지침

최근 몇 달 동안 AI 도우미 플러그인을 설치한 경험이 있는 개발자라면, 지금 이 순간 자신의 API 키가 공격자의 손에 들어가 있을 가능성을 가정해야 합니다. Aikido와 다른 보안 기관들이 제시하는 대응 절차는 다음과 같습니다.

1. 노출된 API 키를 즉시 폐기하세요.
2025년 10월부터 2026년 6월 사이에 젯브레인 마켓플레이스에서 AI 도우미 플러그인을 설치하고 API 키를 입력했다면, 해당 키는 이미 손상된 것으로 간주해야 합니다. 지체 없이 AI 서비스 제공업체의 대시보드에서 새 키를 생성하고 기존 키를 폐기하십시오 .

2. 설치된 플러그인을 전수 조사하세요.
IDE의 ‘설정/환경 설정’으로 이동해 ‘플러그인’ 항목에서 설치된 목록을 확인합니다. 명확히 인지하고 신뢰하는 플러그인이 아니라면, 일단 비활성화하거나 제거하십시오. 제거 후에는 IDE를 다시 시작하여 메모리에서 악성 코드를 완전히 제거해야 합니다 .

3. 잔여 변경 사항이 있는지 점검하세요.
플러그인을 제거한다고 해서 그 효과가 완전히 되돌려지는 것은 아닙니다. 제거 후에도 비정상적인 설정이나 네트워크 동작이 남아 있는지 다시 한번 확인하는 습관이 필요합니다 .

4. 플러그인 설치 전 권한을 꼼꼼히 검토하세요.
명확한 근거 없이 광범위한 네트워크 접근 권한을 요구하는 플러그인을 특히 조심해야 합니다. 예를 들어, 코드 포맷팅 도구가 외부 서버와 통신할 이유는 전혀 없습니다.

5. 수명이 짧고 범위가 제한된 API 키를 도입하세요.
가능하다면, 제공업체의 설정에서 API 키를 특정 프로젝트나 서비스로만 제한하고 만료 기한을 설정하십시오. 또한 과금 대시보드를 주기적으로 모니터링하여 비정상적인 사용량 급증을 조기에 발견하는 것이 중요합니다.

6. 의심스러운 플러그인은 신고하세요.
만약 예상치 못한 동작을 하는 플러그인을 발견한다면, 해당 플러그인의 마켓플레이스 페이지에서 ‘플러그인 신고’ 기능을 사용해 플랫폼 보안 팀에 즉시 알리십시오 . 집단적인 경계심만이 공급망 위협에 대한 가장 효과적인 방어 수단입니다.

악성 코드의 작동 방식은 단순하지만 치명적이었습니다. 개발자가 플러그인 설정 패널에 자신의 API 키를 붙여넣고 ‘적용(Apply)’ 버튼을 클릭하는 순간, 키는 평문(암호화되지 않은 텍스트) 그대로 하드코딩된 공격자의 서버로 즉시 전송되었습니다 . 이 모든 과정은 조용히 진행되었고, 플러그인은 겉으로 보기에 정상적으로 작동했기 때문에 사용자는 자신의 비밀 키가 탈취당했다는 사실을 전혀 눈치챌 수 없었습니다.

Aikido는 공격자들의 뻔뻔함을 보여주는 한 가지 흥미로운 세부 사항도 전했습니다. 일부 악성코드 변종에는 유료 결제 기능까지 포함되어 있었는데, 피해자가 소정의 이용료를 지불하면 ‘정상 작동하는’ API 키를 받을 수 있었습니다. 물론 이 키는 공격자에게 털린 또 다른 피해자의 것일 가능성이 큽니다 .

공격 타임라인과 피해 규모

Aikido의 분석에 따르면, 이 악성 플러그인들 중 첫 번째는 2025년 10월에 등장했으며, 2026년 6월까지도 새로운 플러그인이 계속 게시되고 있었습니다 . 이는 공식 마켓플레이스에서 무려 8개월 이상 동안 탐지되지 않고 악성 활동이 지속되었다는 것을 의미합니다.

적발 당시, 7개의 가짜 개발사 계정을 통해 유포된 15개의 플러그인은 총합 약 7만 회의 설치 기록을 보유하고 있었습니다 . 이러한 규모와 조직성을 고려할 때, 이번 작전은 젯브레인 마켓플레이스를 뚫은 최초의 조직적인 멀웨어 캠페인일 가능성이 높습니다 .

이 사건은 단독으로 발생한 것이 아닙니다. 공격자들은 ‘클로드 코드(Claude Code)’, ‘JetBrains’, ‘클라인(Cline)’ 등을 사칭한 88개 이상의 가짜 설치 프로그램 웹사이트 네트워크를 만들어 구글 광고를 집행했고, 이를 통해 유입된 개발자들의 인증 정보를 노렸습니다 . 두 작전을 함께 놓고 보면, AI 개발자들의 ‘비밀’을 집요하게 노리는 다각적이고 의도적인 공세라는 것을 알 수 있습니다.

AI 크리덴셜을 향한 광범위한 공격

이번 젯브레인 마켓플레이스 공격은 소프트웨어 공급망 전반에 걸친 위험한 트렌드의 일부입니다. 최근 몇 년간 거대 언어 모델(LLM)의 API 키는 공격자들의 주요 표적이 되었습니다. 키 하나만 탈취해도 막대한 추론 비용을 발생시키거나, 사내 모델 및 데이터에 접근해 2차 피해를 일으킬 수 있기 때문입니다.

• npm 생태계 오염: 2026년 초, 주간 다운로드 수가 약 2만 8천 건에 달하던 codexui-android라는 npm 패키지가 만료되지 않는 OpenAI OAuth 리프레시 토큰을 빼돌린 사실이 적발되었습니다. 공격자들은 이 트래픽을 일상적인 ‘Sentry 원격 측정’ 데이터인 것처럼 위장했습니다 .
• 지속적인 공급망 위협: 2025년에는 141개의 Mastra npm 패키지가 손상되어 설치 시점에 악성 코드를 주입하는 사건이 일어나는 등, 개발 생태계의 취약성은 계속해서 드러나고 있습니다 .

IDE 플러그인은 특히 고가치 표적입니다. 젯브레인 환경 내에서 플러그인은 IDE 프로세스에 대한 전체 접근 권한을 가지고 실행됩니다. 즉, 소스 코드를 읽고, 저장된 비밀 키에 접근하며, 파일을 수정하고, 네트워크 연결을 시작할 수 있다는 뜻입니다 . 악성 플러그인은 단순한 이론적 위협이 아니라, 개발자가 접촉하는 모든 것에 침투할 수 있는 실질적인 백도어입니다. 사후 분석에서 지적되었듯, 이제 IDE에 연결된 AI 도우미는 소스 코드, SSH 키, 클라우드 크리덴셜 바로 옆에 위치한 **‘고권한 자동화 표면’**이 되었습니다 .

개발자를 위한 긴급 대응 지침

최근 몇 달 동안 AI 도우미 플러그인을 설치한 경험이 있는 개발자라면, 지금 이 순간 자신의 API 키가 공격자의 손에 들어가 있을 가능성을 가정해야 합니다. Aikido와 다른 보안 기관들이 제시하는 대응 절차는 다음과 같습니다.

1. 노출된 API 키를 즉시 폐기하세요.
2025년 10월부터 2026년 6월 사이에 젯브레인 마켓플레이스에서 AI 도우미 플러그인을 설치하고 API 키를 입력했다면, 해당 키는 이미 손상된 것으로 간주해야 합니다. 지체 없이 AI 서비스 제공업체의 대시보드에서 새 키를 생성하고 기존 키를 폐기하십시오 .

2. 설치된 플러그인을 전수 조사하세요.
IDE의 ‘설정/환경 설정’으로 이동해 ‘플러그인’ 항목에서 설치된 목록을 확인합니다. 명확히 인지하고 신뢰하는 플러그인이 아니라면, 일단 비활성화하거나 제거하십시오. 제거 후에는 IDE를 다시 시작하여 메모리에서 악성 코드를 완전히 제거해야 합니다 .

3. 잔여 변경 사항이 있는지 점검하세요.
플러그인을 제거한다고 해서 그 효과가 완전히 되돌려지는 것은 아닙니다. 제거 후에도 비정상적인 설정이나 네트워크 동작이 남아 있는지 다시 한번 확인하는 습관이 필요합니다 .

4. 플러그인 설치 전 권한을 꼼꼼히 검토하세요.
명확한 근거 없이 광범위한 네트워크 접근 권한을 요구하는 플러그인을 특히 조심해야 합니다. 예를 들어, 코드 포맷팅 도구가 외부 서버와 통신할 이유는 전혀 없습니다.

5. 수명이 짧고 범위가 제한된 API 키를 도입하세요.
가능하다면, 제공업체의 설정에서 API 키를 특정 프로젝트나 서비스로만 제한하고 만료 기한을 설정하십시오. 또한 과금 대시보드를 주기적으로 모니터링하여 비정상적인 사용량 급증을 조기에 발견하는 것이 중요합니다.

6. 의심스러운 플러그인은 신고하세요.
만약 예상치 못한 동작을 하는 플러그인을 발견한다면, 해당 플러그인의 마켓플레이스 페이지에서 ‘플러그인 신고’ 기능을 사용해 플랫폼 보안 팀에 즉시 알리십시오 . 집단적인 경계심만이 공급망 위협에 대한 가장 효과적인 방어 수단입니다.