GhostAction Compromises About 1,900 GitHub Accounts, Targets Over 30,000 Repositories

핵심 요약

GhostAction 캠페인이 약 1,900개의 GitHub 계정을 침해하고 30,000개 이상의 저장소를 표적으로 삼아 CI/CD 파이프라인에서 3,174개의 비밀 정보를 탈취하려 시도했습니다. 이 공격은 주로 자격 증명 탈취(Credential Access, TA0006)를 통해 GitHub 계정을 장악한 후, 코드 저장소(Code Repositories, T1213.003)에 접근하여 CI/CD 환경에 저장된 민감 정보를 노렸습니다. 이는 개발 환경의 보안 취약점을 악용하여 핵심 자산에 접근하려는 공격자의 전술을 보여줍니다. IT 감사인은 조직의 GitHub 계정 보안, CI/CD 파이프라인의 비밀 정보 관리, 그리고 개발 환경 전반의 접근 통제 및 모니터링 체계가 적절한지 즉시 점검해야 하는 중요한 시사점을 얻을 수 있습니다.

개선 권고안

• ✔기술적 조치모든 GitHub 계정에 대해 2단계 인증(MFA)을 의무화하고, 강력한 비밀번호 정책을 적용하며, 정기적인 비밀번호 변경을 강제할 것을 권고함.
• ✔기술적 조치CI/CD 파이프라인에서 사용되는 모든 비밀 정보(API 키, 토큰 등)는 전용 비밀 관리 솔루션(예: HashiCorp Vault, AWS Secrets Manager, Azure Key Vault)을 통해 안전하게 저장 및 관리하고, CI/CD 스크립트 내에 하드코딩하는 것을 전면 금지할 것을 권고함.
• ✔기술적 조치GitHub 저장소에 대한 접근 권한을 최소 권한 원칙(Principle of Least Privilege)에 따라 부여하고, 특히 공개 저장소에 민감 정보가 포함되지 않도록 정기적인 코드 스캔 및 검토 프로세스를 자동화하여 적용해야 함을 권고함.
• ✔관리적 조치GitHub 및 CI/CD 환경에 대한 보안 감사 로그를 중앙 집중화하여 SIEM(Security Information and Event Management) 시스템과 연동하고, 비정상적인 접근 시도나 활동에 대한 실시간 탐지 및 경보 체계를 강화할 것을 권고함.
• ✔관리적 조치개발자 및 운영 담당자를 대상으로 GitHub 계정 보안, 안전한 CI/CD 파이프라인 구축, 비밀 정보 관리 모범 사례에 대한 정기적인 보안 교육을 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기