2026-11-14
도난된 것으로 보이는 토큰으로 GitHub 계정 약 4,800개 악용, CI 시크릿과 클라우드 자격 증명 탈취(2026년 11월): 저장소 소유자가 오늘 할 일
2026년 11월 10일경부터, 도난된 것으로 보이는 유효한 토큰으로 GitHub 계정 약 4,800개가 쓰여 매우 많은 저장소에 탐색용 풀 리퀘스트를 보냈고, 일부에서는 악성 변경으로 GitHub Actions 시크릿과 클라우드 자격 증명을 훔쳤습니다. 조사한 보안 업체 세 곳은 서로 다른 것을 집계합니다. 업체 A는 4,837개 계정이 61,764개 저장소에 탐색용 풀 리퀘스트를 보냈고, 최소 1,835개 저장소에서 악성 코드가 실행되어 자격 증명이 외부로 전송되었다고 보고합니다. 업체 B는 악성 변경을 받은 공개 저장소 8,093개를 집계합니다(실행된 수가 아님). 업체 C는 GitHub Actions의 결함은 악용되지 않았고 유효한 토큰이 쓰였다고 밝힙니다. 탐색용 풀 리퀘스트 일부는 한 클라우드 사업자의 GitHub 앱에 발급된 토큰에서 나왔으며, 이 사업자는 자사 인프라는 침해되지 않았고 자사 배포 과정이 일부 고객 앱에서 노출되는 위치에 토큰을 남겼다고 밝혔습니다. 11월 14일 확인 시점에 GitHub는 이에 관해 아무것도 발표하지 않았습니다(명시되지 않음). 이 사이트의 견해: 패치를 기다려서는 막을 수 없는 유형의 공격입니다. 모르는 풀 리퀘스트, 브랜치, Actions 실행 확인, 시크릿 폐기와 재발급, 클라우드 신뢰 설정 점검이 우선입니다.