오픈소스는 어떻게 글로벌 사이버범죄의 침투로가 됐나

오픈소스 소프트웨어의 신뢰가 공격받고 있다.

호주연방경찰(AFP)과 미국 연방수사국(FBI), 서호주경찰(WAPF)은 악성 오픈소스 소프트웨어를 만들어 전 세계 기업과 기관을 침해한 혐의를 받는 사이버범죄 조직을 수사해 서호주 남성 2명을 기소했다고 밝혔다.

이 사건은 단순한 해킹 사건이 아니다.

공격자는 특정 기업의 방화벽을 정면으로 뚫은 것이 아니라, 개발자들이 신뢰하고 가져다 쓰는 오픈소스 저장소에 악성 코드를 심은 것으로 의심받고 있다. 그 코드는 다른 개발자들에 의해 무심코 사용됐고, 이후 정부, 학계, 민간 기업의 시스템으로 퍼졌다.

수사당국은 악성 코드가 전 세계 1,000곳 이상 조직을 잠재적으로 침해했고, 50만 개 이상 자격증명을 탈취했으며, 최소 300GB의 데이터를 외부로 빼낸 것으로 추정했다. 피해 복구 비용은 전 세계적으로 수억 달러에 이를 것으로 평가됐다.

이번 사건의 핵심은 피해 규모만이 아니다.

소수의 신뢰받는 소프트웨어 구성요소가 오염됐을 때, 그 영향이 얼마나 빠르게 전 세계로 확산될 수 있는지를 보여줬다는 점이다. 사이버보안의 전선은 이제 서버와 네트워크 경계에만 있지 않다. 개발자가 내려받는 라이브러리, 의존성 패키지, 빌드 파이프라인, 인증 토큰, API 키, 오픈소스 저장소 전체가 공격면이 됐다.

오픈소스는 현대 디지털 경제의 기반이다.

하지만 바로 그 개방성과 재사용성이 사이버범죄 조직에게는 가장 매력적인 침투 경로가 되고 있다.

이번 수사는 2026년 4월부터 시작됐다. AFP와 FBI는 여러 사이버 위협 평가 기업들로부터 특정 범죄 조직이 오픈소스 저장소에 악성 코드를 삽입했다는 정보를 받았다. AFP와 서호주경찰은 FBI와 병행해 수사를 진행했고, 2026년 8월 26일 퍼스 지역의 코츠로, 해밀턴힐, 만두라 소재 주거지에 대해 압수수색을 집행했다.

수사 결과 서호주 남성 2명이 체포됐다. 21세 코츠로 남성과 23세 만두라 남성이다. AFP는 이들에게 총 14개 혐의를 적용했다. 혐의에는 컴퓨터 범죄를 저지를 의도로 데이터를 소지한 혐의, 중대한 범죄를 저지를 의도로 데이터를 무단 변경한 혐의, 컴퓨터 범죄를 저지를 의도로 데이터를 공급한 혐의 등이 포함됐다. 21세 남성에게는 10만 호주달러 이상 범죄수익을 다룬 혐의와 수사기관 명령 불응 혐의도 적용됐다.

수사당국은 두 사람이 사이버범죄 조직의 주요 참여자였으며, 불법 활동 대가로 암호화폐를 받은 것으로 보고 있다. 정확한 금액은 아직 조사 중이다.

FBI 사이버부문 브렛 리더먼 부국장은 이들이 TeamPCP라는 사이버범죄 그룹의 구성원으로 의심된다고 밝혔다. FBI는 이번 체포가 소프트웨어 공급망 공격이라는 커지는 위협에 대응하기 위한 국제 공조의 결과라고 설명했다.

이 사건이 중요한 이유는 공격 방식에 있다.

전통적인 사이버공격은 특정 기업이나 기관의 취약점을 찾아 직접 침투하는 방식으로 이해됐다. 그러나 공급망 공격은 다르다. 공격자는 최종 목표를 직접 공격하지 않는다. 대신 그 목표가 신뢰하는 소프트웨어, 도구, 업데이트, 개발 패키지, 협력업체를 오염시킨다.

이 방식은 효율적이다.

하나의 오픈소스 패키지가 수많은 프로젝트에 재사용된다. 한 개발자가 설치한 라이브러리는 기업 내부 서비스에 들어가고, 그 서비스는 다시 고객 시스템이나 정부기관 프로젝트에 포함될 수 있다. 공격자는 한 지점에 코드를 심지만, 피해는 수백·수천 곳으로 확산된다.

이번 AFP·FBI 사건도 같은 구조를 보여준다. 경찰은 감염된 소프트웨어가 다른 개발자들에 의해 무심코 사용됐고, 이후 정부와 학계, 민간 부문 조직의 컴퓨터 시스템으로 배포됐다고 밝혔다. 악성 소프트웨어는 조직 내부로 침투해 사용자 자격증명과 인증 자료 등 민감한 데이터를 훔치거나 수집할 수 있었던 것으로 의심된다.

공격자는 시스템의 가장 약한 지점을 노린 것이 아니다.

가장 널리 신뢰되는 지점을 노렸다.

소프트웨어 공급망 공격의 무서움은 여기에 있다. 피해 조직은 자신이 직접 악성 파일을 내려받았다고 생각하지 않는다. 평소처럼 개발 도구를 사용하고, 익숙한 패키지를 설치하고, 기존 빌드 절차를 따랐을 뿐이다. 그러나 그 안에 악성 코드가 들어 있었다면 보안 장비는 이를 정상 개발 활동으로 오인할 수 있다.

특히 자격증명 탈취는 공급망 공격에서 치명적이다.

클라우드 접근키, API 토큰, 인증서, 개발자 계정, CI/CD 비밀값이 탈취되면 공격자는 단순 데이터 유출을 넘어 더 깊은 시스템 접근권을 얻는다. 한 조직의 개발 환경이 뚫리면 그 조직의 고객, 협력사, 배포 소프트웨어까지 위험해질 수 있다.

이번 사건에서 50만 개 이상 자격증명이 탈취된 것으로 추정된다는 점은 그 자체로 심각하다. 자격증명은 사이버범죄 생태계에서 현금성 자산이다. 다크웹 시장에서 팔릴 수 있고, 랜섬웨어 공격의 초기 접근권으로 쓰일 수 있으며, 추가 계정 탈취와 내부 이동의 발판이 될 수 있다.

최소 300GB 데이터 유출 추정도 단순 숫자로 볼 일이 아니다.

데이터의 가치는 양보다 내용에 달려 있다. 인증자료, 소스코드, 내부 문서, 고객정보, 시스템 구성정보, 취약점 정보가 포함됐다면 피해는 장기화된다. 기업은 단순히 서버를 복구하는 데 그치지 않고, 탈취된 자격증명을 모두 폐기하고 재발급해야 하며, 코드 저장소와 배포 파이프라인, 고객 시스템까지 점검해야 한다.

수억 달러 규모의 복구 비용 추정이 나오는 이유다.

소프트웨어 공급망 공격은 피해 조직이 많을수록 복구 비용이 기하급수적으로 커진다. 각 조직은 자신이 어떤 패키지를 사용했는지, 어떤 버전이 영향을 받았는지, 어느 시스템에 배포됐는지, 어떤 인증자료가 노출됐는지 확인해야 한다. 이 과정에는 보안팀뿐 아니라 개발팀, 법무팀, 고객지원, 경영진, 규제 대응 조직이 모두 동원된다.

문제는 많은 조직이 자신들의 소프트웨어 구성요소를 완전히 파악하지 못한다는 점이다.

현대 소프트웨어는 직접 작성한 코드보다 외부 의존성이 더 많다. 하나의 애플리케이션은 수십·수백 개의 오픈소스 패키지에 의존하고, 그 패키지들은 다시 다른 패키지에 의존한다. 개발 속도를 높이기 위해 가져다 쓴 코드가 결국 보안 리스크의 사슬이 된다.

따라서 이번 사건은 SBOM, 즉 소프트웨어 자재명세서의 중요성을 다시 부각한다. 기업은 어떤 소프트웨어 구성요소를 쓰고 있는지 알아야 한다. 어떤 버전이 어디에 배포됐는지 추적할 수 있어야 한다. 특정 패키지가 오염됐다는 경고가 나왔을 때, 몇 시간 안에 영향 범위를 식별할 수 있어야 한다.

하지만 SBOM만으로 충분하지 않다.

오픈소스 패키지의 출처, 유지관리자 신뢰도, 코드 변경 이력, 배포 서명, 의존성 변동, 빌드 환경, 개발자 계정 보안까지 함께 관리해야 한다. 패키지를 설치하는 순간부터 배포되는 순간까지 전체 경로를 검증해야 한다.

소프트웨어 공급망 보안은 이제 개발팀의 부수 업무가 아니다.

기업 보안의 핵심 통제 영역이다.

이번 사건은 사이버범죄 조직의 운영 방식도 보여준다. AFP는 해당 조직이 데이터 침입, 신원 범죄, 암호화폐 기반 자금세탁 등 대규모 사이버범죄에 관여한 고도로 조직화된 조직이라고 설명했다. AFP 지휘관 그레임 마셜은 사이버범죄 조직이 점점 더 조직화되고 있으며 전문 비즈니스처럼 운영되는 경우가 많다고 말했다.

이 표현은 중요하다.

현대 사이버범죄는 더 이상 개인 해커의 즉흥적 침입으로 설명되지 않는다. 역할이 나뉜다. 악성코드 개발자, 초기 접근 브로커, 데이터 탈취 담당, 자격증명 판매자, 암호화폐 세탁자, 협박 담당, 인프라 운영자가 따로 움직인다. 이들은 범죄 생태계 안에서 서비스를 사고팔며, 수익을 나누고, 국경을 넘나든다.

오픈소스 공급망 공격은 이런 범죄 산업화와 잘 맞는다.

공격자는 한 번 악성 패키지를 배포하면 수많은 조직으로 침투할 수 있다. 탈취한 자격증명은 다른 공격자에게 팔 수 있고, 유출 데이터는 협박이나 사기, 신원 도용에 활용할 수 있다. 암호화폐는 대금 수취와 자금세탁에 이용된다. 기술과 범죄 비즈니스 모델이 결합되는 것이다.

그래서 수사도 국경을 넘을 수밖에 없다.

이번 사건은 AFP와 서호주경찰, FBI가 함께 움직인 국제 공조 사례다. AFP는 민간 위협평가 기업들의 정보 제공이 수사에 결정적이었다고 밝혔다. 이는 사이버범죄 대응에서 공공기관만으로는 충분하지 않다는 현실을 보여준다.

위협을 가장 먼저 보는 곳은 민간 보안기업일 수 있다.
침해 흔적을 가장 먼저 발견하는 곳은 피해 기업일 수 있다.
범죄 인프라의 일부는 해외에 있을 수 있다.
피의자는 또 다른 국가에 있을 수 있다.
자금은 암호화폐로 이동할 수 있다.

따라서 사이버범죄 대응은 경찰, 정보기관, 보안기업, 플랫폼 사업자, 클라우드 기업, 피해 조직이 함께 움직이는 방식으로 진화하고 있다. AFP가 “조기 신고와 지속적인 협력”을 강조한 이유도 여기에 있다.

특히 오픈소스 생태계에서는 민간과 커뮤니티의 역할이 더 크다.

오픈소스 저장소 운영자, 패키지 관리자, 보안 연구자, 개발자 커뮤니티가 이상 징후를 발견하고 공유해야 한다. 악성 패키지가 발견되면 빠르게 제거하고, 영향을 받은 버전과 의존성을 공지해야 한다. 기업은 이를 받아 내부 영향 범위를 확인해야 한다.

한국 기업과 공공기관에도 남의 일이 아니다.

국내 기업 역시 오픈소스 의존도가 높다. 금융, 통신, 제조, 공공, 플랫폼, 게임, AI 서비스까지 거의 모든 디지털 서비스가 오픈소스 위에서 돌아간다. 개발 생산성을 높이기 위해 외부 패키지를 빠르게 가져다 쓰는 문화도 보편화돼 있다.

그러나 오픈소스 보안 관리는 여전히 취약한 경우가 많다.

어떤 패키지를 쓰는지 정확히 모른다.
개발자가 임의로 설치한 라이브러리가 운영 서비스에 들어간다.
패키지 업데이트 검증 절차가 약하다.
CI/CD 환경의 비밀값 관리가 허술하다.
개발자 계정에 다중인증이 적용되지 않는다.
오픈소스 취약점 경고가 나와도 영향 범위 파악이 늦다.

이런 환경에서는 공급망 공격이 들어왔을 때 대응이 늦어진다.

특히 AI 개발 확산은 문제를 더 복잡하게 만든다. AI 서비스 개발에는 Python, JavaScript, 데이터 처리 라이브러리, 모델 허브, 플러그인, 에이전트 도구, API 래퍼 등 수많은 외부 패키지가 사용된다. 개발자가 빠르게 실험하고 배포하는 문화는 혁신을 돕지만, 동시에 검증되지 않은 코드가 내부 환경에 들어올 가능성을 높인다.

AI 에이전트가 코드를 자동으로 생성하고 패키지를 설치하는 시대에는 공급망 보안의 난도가 더 올라간다.

사람이 의식적으로 선택한 패키지만 관리하면 되는 것이 아니다. AI 도구가 추천한 라이브러리, 자동 생성된 설치 명령, 잘못된 패키지명, 유사 이름 패키지, 악성 의존성까지 점검해야 한다. 오픈소스 저장소는 AI 개발의 속도를 높이는 동시에 공격자의 배포 채널이 될 수 있다.

이번 AFP·FBI 사건은 그래서 더 중요하다.

공격자는 개발자 생태계의 습관을 안다.
개발자가 코드를 빠르게 가져다 쓴다는 것을 안다.
오픈소스 패키지가 신뢰된다는 것을 안다.
인증자료가 개발 환경 어딘가에 남아 있다는 것을 안다.
하나의 패키지가 여러 조직으로 퍼진다는 것을 안다.

공격자는 이 신뢰를 해킹한다.

기업의 대응도 달라져야 한다. 방화벽과 백신만으로는 부족하다. 개발 파이프라인을 보안의 핵심 대상으로 봐야 한다. 패키지 설치 정책, 의존성 스캔, 코드 서명, 빌드 재현성, 비밀값 탐지, 개발자 계정 MFA, 최소권한 접근, 토큰 수명 단축, 저장소 권한 관리, 이상 행위 탐지, 배포 전 검증이 함께 작동해야 한다.

무엇보다 사고를 전제로 한 준비가 필요하다.

어떤 오픈소스 패키지가 오염됐다는 사실이 알려졌을 때, 우리 조직이 영향을 받았는지 즉시 알 수 있어야 한다. 어떤 서비스에 포함됐는지, 어떤 버전이 배포됐는지, 어떤 자격증명이 노출될 수 있는지, 어떤 고객에게 통지해야 하는지, 어떤 법적 신고 의무가 있는지 준비돼 있어야 한다.

공급망 보안은 기술 문제가 아니라 운영 역량이다.

이번 사건에서 수사당국은 아직 조사가 진행 중이며 추가 체포와 기소 가능성도 배제하지 않았다. 압수된 대량의 데이터와 전자기기는 포렌식 분석 중이다. 이는 피해 범위가 더 넓어질 수 있음을 의미한다.

사이버범죄 수사의 특성상 최초 발표는 끝이 아니라 시작일 때가 많다. 압수 장비에서 추가 인프라, 피해 조직, 지갑 주소, 협력자, 다른 악성 패키지, 판매 기록이 나올 수 있다. 한 공급망 공격 사건이 다른 랜섬웨어, 계정 탈취, 데이터 판매 사건과 연결될 가능성도 있다.

그래서 조직들은 수사기관 발표를 단순 해외 뉴스로 넘겨서는 안 된다.

자신들이 사용한 패키지와 의존성, 개발 환경, 인증자료 관리 상태를 점검해야 한다. 특히 정부, 학계, 민간 기업 모두가 영향을 받았다는 점에서 공공기관과 연구기관도 예외가 아니다. 학계와 연구기관은 종종 보안 예산과 인력이 부족하지만, 오픈소스 의존도는 높다. 연구 데이터와 계정, 클라우드 자원이 공격자에게 매력적인 표적이 될 수 있다.

오픈소스는 여전히 디지털 혁신의 기반이다.

문제는 오픈소스를 쓰지 말자는 것이 아니다. 오픈소스를 신뢰하되, 검증 가능한 방식으로 신뢰해야 한다는 것이다. 개방형 생태계는 속도와 협업을 제공하지만, 그만큼 투명한 추적과 책임 있는 사용이 필요하다.

이번 사건은 그 현실을 보여준다.

오픈소스 공급망은 공짜 코드의 모음이 아니다. 글로벌 기업과 정부, 학교, 공공서비스가 의존하는 디지털 인프라다. 이 인프라가 오염되면 피해는 한 기업의 보안 사고를 넘어 전 세계 조직으로 번진다.

사이버범죄 조직은 이 사실을 알고 있다.

이제 기업과 정부도 알아야 한다.

보안의 출발점은 더 이상 내부망 입구가 아니다. 개발자가 처음 가져오는 코드 한 줄, 패키지 하나, 의존성 하나에서 시작된다. 그 작은 구성요소가 전 세계 수천 개 조직으로 확산될 수 있기 때문이다.

오픈소스의 시대는 끝나지 않았다.

다만 오픈소스를 순진하게 신뢰하던 시대는 끝나고 있다.