Codecov 유출 사고(2021) — CI 안의 '신뢰하던 도구'가 탈취되어 비밀 정보가 새어 나갔을 때

저희는 실제 공개 사고를 단순한 뉴스 재방송이 아니라 "이것을 어떻게 방어할 것인가"의 관점으로 읽습니다. 이 글은 공개 기록(공식 사후 분석, CISA, 보안 벤더 분석)에 근거하며, 출처는 글 끝에 명시합니다.

무슨 일이 있었나(쉽게 풀이)

많은 팀이 CI에서 curl … | bash처럼 외부 도구를 그대로 가져와 실행합니다. Codecov의 Bash Uploader가 바로 그런 스크립트였습니다.

공격자는 Codecov의 배포 과정에 있는 약점을 악용해 배포되는 스크립트 자체를 다시 작성했고, 그 스크립트가 CI에서 실행될 때 그 환경의 변수(비밀 정보)를 외부 서버로 전송하도록 만들었습니다. 고객 입장에서는 늘 하던 대로 신뢰하던 도구를 호출했을 뿐입니다. 여러분의 코드는 한 줄도 바뀌지 않았기 때문에 이상 신호가 거의 없습니다.

약 두 달 뒤, 한 고객이 스크립트의 체크섬(SHA256)을 공식 값과 비교해 불일치를 발견하면서 변조가 드러났습니다. 유출될 수 있었던 정보에는 클라우드 키, 배포 키, API 키, 토큰이 포함되었고, 거기서 공격은 HashiCorp, Twilio 같은 회사들의 다운스트림 유출로 연쇄되었습니다.

사슬은 곧 방어 지도다

중요한 것은 이것이 4단계 사슬이었고 각 단계마다 멈출 수 있는 지점이 있었다는 점입니다. 공격 레시피가 아니라 "어디서 끊을 수 있었는가"로 읽어 주십시오.

공개된 타임라인

1. 2021-01-31

   Bash Uploader 변조가 시작됨(이후 간헐적으로 지속).

2. 2021-03–

   고객의 CI에서 비밀 정보가 수 주에 걸쳐 알아채지 못한 채 새어 나감.

3. 2021-04-01

   한 고객이 체크섬 불일치를 발견해 신고.

4. 2021-04-15

   Codecov가 공개 발표. 고객에게 모든 비밀 정보 로테이션을 권고.

5. 2021-04–

   HashiCorp, Twilio, Rapid7에서 다운스트림 영향이 드러남. Codecov는 이후 Bash Uploader를 폐기.

근본 원인은 하나의 실수가 아니다

이를 "Codecov 잘못"으로 치부하면 반복됩니다. 고객 쪽에서도 계층이 차례로 무너졌습니다.

여러분의 환경에서 막는 법

규모에 상관없이 작동하는, 우선순위 순서의 대책입니다. "여러분의 CI가 신뢰하고 실행하는 것"을 한 번 목록화하면 곧 자기 일이 됩니다.

본 사이트의 태도: 신뢰를 최소화하고 검증한다

본 사이트는 의존성과 빌드 도입을 기계로 검증하도록 설계합니다. Codecov와 XZ Utils가 보여주는 것은 같은 사실입니다 — "우리는 신뢰한다"는 곧 "우리는 검증하지 않는다"가 되기 쉽고, 그것이 공급망 공격의 문이 됩니다. 신뢰를 줄이고 끌어오는 것의 무결성을 기계적으로 확인하십시오.

출처(공개 기록)

여기 담긴 사실은 다음 공개 정보에 근거하며, 방어적 교훈에 초점을 둡니다. 재현 절차나 변조된 코드는 다루지 않습니다.

• Codecov, "Post-Mortem / Root Cause Analysis (April 2021)" — about.codecov.io
• Codecov, "Bash Uploader Security Update" — about.codecov.io
• CISA, "Codecov Releases New Detections for Supply Chain Compromise" (2021) — cisa.gov
• Rapid7, "Analysis of the Codecov Supply Chain Compromise" (2021) — rapid7.com

이어서 읽기

• 역사: XZ Utils 백도어 — 신뢰 그 자체에 대한 공격
• 용어: .env란 무엇인가(비밀 정보가 모이는 곳)
• 방어: 의존성을 기계로 모니터링하기
• 사고: Equifax — 방치된 알려진 CVE · Capital One — SSRF