API 키
이 태그가 달린 문서 5건
OpenCode Console 침해(2026년 10월, Console 이용자의 1.4%): AI 제공업체 API 키 노출 가능성과 해야 할 일
2026년 10월 17일, 오픈소스 AI 코딩 에이전트 OpenCode는 공식 X 계정에서 전날 밤 대규모 증류(distillation) 공격과 관련된 보안 침해가 있었으며 OpenCode Console 이용자의 1.4%가 영향을 받았다고 밝혔습니다. 회사는 그날 아침 영향을 받은 모든 이용자에게 이메일을 보냈고, 이메일을 받지 않은 이용자는 영향을 받지 않았으며, 영향을 받은 이용자는 외부 제공업체를 연결한 이용자의 일부라고 했습니다. 회사는 사고가 진행 중이라 더 자세한 내용은 공유할 수 없으며, 관련 AI 제공업체와 협력하고 있다고 밝혔습니다. 이메일 내용과 회사의 발언을 다룬 보도에 따르면, 이용자가 Console 워크스페이스에 저장한 외부 AI 제공업체의 API 키가 이전 시스템을 통해 노출되었을 수 있으며, 영향을 받은 이용자에게는 각 제공업체에서 직접 키를 폐기하고 교체하라는 안내가 있었습니다. 공동 창업자는 오픈소스 앱과 명령줄 도구는 영향을 받지 않았다고 말했습니다. 이 사이트의 견해: 이메일을 받았거나, OpenCode Console에 AI 제공업체 키를 연결해 두었는데 확신이 없다면, 오늘 각 제공업체의 대시보드에서 키를 폐기하고 10월 17일 이후의 사용량과 청구를 확인하세요.
Studio 웹사이트 빌더 부정 접속: 전체 이용자 데이터와 폼 전송 내용 유출 가능성 — 폼 전송자와 사이트 운영자가 해야 할 일
2026년 10월 16일 Studio Inc.는 자사가 이용하는 클라우드 환경에 제3자가 부정 접속했으며, 웹사이트 빌더 Studio에 등록된 전체 고객의 데이터가 유출되었을 가능성이 있다고 발표했습니다. 제3자는 Studio 일부 기능의 취약점을 악용해 해당 환경에 접속했고, 그 데이터를 외부에서 가져갈 수 있는 상태로 만들었습니다. 지금까지 확인된 부정 접속 기간은 2026년 9월 30일~10월 1일(일본 시간)이며, 회사는 10월 13일 내부 조사에서 이를 발견하고 10월 13~14일에 취약점 수정과 경로 차단을 마쳤습니다. 유출 가능성이 있는 데이터는 계정 데이터(사용자 이름, 이메일 주소, 해시된 비밀번호 등), 디자인 에디터 및 CMS 콘텐츠, Studio로 만든 사이트에서 전송된 폼 내용, 라이브 프리뷰 URL, API 연동에 등록된 외부 서비스의 API 키와 토큰, 비밀번호로 보호된 페이지의 비밀번호, 웹훅 알림 URL 등입니다. 암호화되어 저장된 데이터도 같은 접속에서 복호화에 필요한 키를 읽었기 때문에 일부는 읽혔을 가능성이 있습니다. 회사는 제3자가 실제로 데이터를 가져갔는지는 확인하지 못했지만, 가져간 것으로 간주하고 대응하고 있습니다. 피해자 수와 악용 여부는 조사 중입니다. Studio로 사이트를 만든 기업·단체도 폼으로 전송된 개인정보가 유출되었을 가능성이 있다고 밝혔습니다. Luup은 21,368건, Link-U Group은 7,663건, TRUSTART는 약 1,440건, 사이타마현 사이타마 그린 포레스트 뮤지엄은 162건입니다. 일본 디지털청은 Studio Inc.가 10월 16일 자신들에게 보고한 뒤인 10월 22일, 자사 웹사이트 문의 폼에 2021년 5월~2023년 3월 사이 입력된 문의(5개 분류, 가장 많은 분류는 최대 8,833건, 본 사이트 합산 기준 전체 최대 13,323건)와 Studio 계정 35건이 유출되었을 가능성이 있다고 발표했습니다. 일본 개인정보보호위원회(PPC) 보고와 관련해 Studio Inc.는 10월 17일 폼 이용 고객에게 개별 보고를 보류해 달라고 요청했으나, 10월 20일 PPC와 협의한 결과 고객이 개별 보고 또는 Studio와의 공동 보고 중에서 선택할 수 있다고 밝혔습니다(어느 쪽이든 피해 당사자에 대한 통지 여부는 고객이 판단). 10월 19일에는 안내 페이지에 영업 제안, 스팸, 안전 우려가 있는 응답이라도 개인을 식별할 수 있는 정보가 포함되어 있으면 원칙적으로 본인 통지가 필요하다는 내용을 추가했습니다. 본 사이트의 결론: Studio로 만든 사이트에서 폼을 전송했다면 해당 사이트 운영자의 공지를 확인하고, 전송한 내용을 언급하는 메시지의 링크는 열지 마십시오. 사이트 운영자는 Studio Inc.가 안내하는 순서대로 비밀번호를 변경하고 연동 키를 교체하십시오.
GitHub에 공개된 인증 정보 543,699건이 여전히 유효했다 (2026년 연구): 삭제가 아니라 폐기해야 하는 이유와 개발자가 할 일
비밀값 검사 도구를 판매하는 보안 회사가 LLM 학습용으로 수집된 약 2억 2,400만 개 공개 저장소의 스냅숏을 조사해, 2026년 7월 말 시점에 543,699건의 인증 정보가 여전히 인증에 성공했다고 보고했다. 노출 후 경과 기간의 중앙값은 784일이었다. npm과 GitHub 토큰은 거의 모두 무효화돼 있었던 반면, 데이터베이스 연결 문자열은 75~88%가 여전히 작동했다. 유효한 인증 정보 중 19만 9천 건 이상은 GitHub가 push protection을 기본으로 켠 뒤에 나타났고, 유효한 것의 절반 이상은 push protection이 기본으로 막지 않는 유형이었다. 이 사이트의 결론 = 공개 저장소에 push한 인증 정보는 파일 삭제나 이력 재작성으로 회수할 수 없으므로 먼저 폐기한다. 유출된 인증 정보가 자동으로 폐기되는지는 발급자에 달려 있으며, 연결 문자열과 많은 API 키는 내가 멈출 때까지 유효하다.
gitleaks로 커밋 전에 시크릿을 막아라: push 전에 API 키 유출 잡기
시크릿은 '유출된 뒤 삭제'할 수 없다. 한 번 커밋되면 Git 히스토리에 남고, push되면 유출된 것으로 다뤄야 한다 — 키를 폐기/교체해야 한다. gitleaks는 정규식/엔트로피로 저장소 전체와 커밋 히스토리를 스캔해 API 키, 개인 키, 토큰을 찾는 무료 도구다. 방어의 핵심은 두 단계의 점검: push 전에 로컬에서 막는 pre-commit 훅과, 빠져나간 것을 잡는 CI/cron. .gitignore는 새 추적만 막을 뿐 탐지하지 못하므로, 스캐너가 여전히 필요하다.
보안 기본: .env와 API 키의 진짜 위험은 무엇인가
여기서 시작하라. .env와 API 키가 유출되면 무슨 일이 일어나는지(누군가 당신인 척 서비스를 쓰고, 그 요금이 당신에게 청구된다) 이해한 뒤, 오늘 네 가지 습관을 들이라: 노출하지 말 것, 커밋하지 말 것, 유출되면 전부 교체할 것, 스스로 점검할 것.