GitHub 해킹 사태: VS Code 확장 프로그램이 뚫렸다

GitHub 사이버 공격, 발단은 VS Code 확장 프로그램

2026년 5월 18일, GitHub은 직원 기기 침해 사건을 탐지했습니다. 공격자는 제3자가 배포한 악성(poisoned) VS Code 확장 프로그램을 이용해 직원 단말에 침투했고, GitHub 내부 저장소에서 데이터를 탈취했습니다. GitHub의 현재 조사에 따르면 약 3,800개의 내부 저장소가 영향을 받은 것으로 추정됩니다.

GitHub은 사건 탐지 즉시 악성 확장 프로그램 버전을 제거하고 엔드포인트를 격리했으며, 이틀에 걸쳐 핵심 자격 증명(credentials)과 비밀키를 우선순위 순으로 교체했습니다.

현재까지 밝혀진 영향 범위

GitHub은 현재까지 고객 소유의 저장소, 기업(enterprise), 조직 데이터에 대한 침해 증거는 없다고 밝혔습니다. 다만 일부 내부 저장소에는 고객 지원 대화 발췌본 등 고객 관련 정보가 포함되어 있어, 영향이 확인될 경우 개별 통보할 예정입니다. 조사는 현재도 진행 중입니다.

Enterprise Server 관리자 필수 조치

이번 사건의 여파로 GitHub은 **GitHub Enterprise Server(GHES) 서명 키(signing key)**를 교체했습니다. 이 키는 수동 업데이트 시 바이너리가 GitHub으로부터 배포된 것임을 검증하는 데 사용됩니다.

GHES 관리자는 즉시 GPG 공개 키를 교체해야 합니다. 키를 교체하지 않으면 향후 GHES 버전 업그레이드 시 다음 오류가 발생합니다:

Error: The file provided is not a valid GitHub Enterprise Server package.

GitHub이 제공하는 스크립트를 통해 단일 노드 및 HA/클러스터 토폴로지(topology, 네트워크 구성) 환경 모두에 대한 키 교체를 진행할 수 있으며, 세부 지침이 공식 보안 블로그에 공개되어 있습니다. GitHub은 앞으로 수개월간 보안 업데이트 속도가 빨라질 것이라고 예고했습니다.

개발자·학생이 배워야 할 교훈

공급망 보안(Supply Chain Security)이란?

이번 사건은 **소프트웨어 공급망 공격(Supply Chain Attack)**의 전형적인 사례입니다. 공격자는 정상적인 소프트웨어 배포 경로—이번엔 VS Code 마켓플레이스—를 악용해 악성 코드를 삽입하고, 신뢰된 개발 환경을 통해 내부 시스템에 접근합니다. 2020년 SolarWinds 사태, 2021년 npm 패키지 탈취 사건과 동일한 공격 벡터입니다. 도구 자체가 무기가 되는 것입니다.

VS Code 확장 프로그램 설치 시 점검 사항

매일 VS Code를 사용하는 개발자 지망생이라면 다음 네 가지를 점검하세요:

• 배포자(publisher) 확인: Microsoft 공식 계정 또는 검증된 기업 계정인지 확인합니다.
• 설치 수·리뷰 확인: 수천 개 이상의 설치 수와 최근 업데이트 이력을 참조합니다.
• 권한(permission) 최소화: 불필요한 파일 시스템 접근 권한을 요구하는 확장은 주의합니다.
• 정기 감사: 설치된 확장 목록을 주기적으로 점검하고 사용하지 않는 것은 제거합니다.

AI 시대, 보안 위협도 고도화된다

GitHub도 공식 발표에서 "AI 기술의 등장과 함께 위협 행위자의 공격도 고도화되고 있다"고 명시했습니다. AI가 코드 생성과 자동화를 가속화할수록 악성 코드를 숨기거나 정상 소프트웨어처럼 위장하는 기술도 함께 진화합니다. 이번 침해가 하필 VS Code 확장이라는 개발자 도구를 통해 발생한 것은 우연이 아닙니다.

보안 위협이 더 지능화될수록 방어 역량을 갖춘 개발자의 가치도 높아집니다. 코드 작성 능력 못지않게 DevSecOps(개발·보안·운영 통합) 마인드셋이 취업 시장에서 핵심 역량으로 부상하고 있습니다.

학생 활용법

이번 사건을 계기로 본인의 VS Code 확장 프로그램 목록을 한 번 점검해 보세요. GitHub의 보안 공지 페이지를 즐겨찾기에 추가해두면 최신 취약점과 대응 방안을 빠르게 파악하는 습관을 기를 수 있습니다.