IT 인섹시큐리티, 오픈소스 공급망 공격 확산 경고 “SBOM 관리 필수”

인섹시큐리티가 오픈소스 공급망 공격의 심각성을 경고했다. 인섹시큐리티는 옵스왓(OPSWAT)의 최근 연구 결과를 인용하며 오픈소스 및 서드파티 소프트웨어 의존도가 높아지는 상황에서 공급망 보안 위협이 빠르게 증가하고 있다고 밝혔다. 이번 발표는 주요 인프라 보호 분야 글로벌 기업 옵스왓의 분석을 기반으로 한다. 현대 소프트웨어 개발은 npm, GitHub 같은 오픈소스 저장소에서 다수의 패키지를 가져와 조립하는 방식이 일반화됐다. 이러한 의존성이 늘어나면서 악성 코드가 삽입된 패키지를 통해 연쇄 피해가 발생하는 공급망 공격 위험이 확대되고 있다. 실제로 ESLint 관련 오픈소스 패키지인 eslint-config-prettier가 공격에 악용된 사례가 확인됐다. ESLint는 전 세계 개발자가 자바스크립트 코드 품질 검사를 위해 주간 3100만 회 이상 다운로드하는 도구다. 단 한 번의 피싱 공격이 수백만 프로젝트에 파급 효과를 일으킨 셈이다. 공격은 npm 공식 메일을 사칭한 피싱 이메일에서 시작됐다. 해커는 유지보수 관리자의 액세스 토큰을 탈취한 뒤 악성 버전(8.10.1, 9.1.1, 10.1.6, 10.1.7)을 npm 레지스트리에 배포했다. 동일 관

• 구서경 기자
• 2025-09-04 12:04