🔐 깃허브 접속 토큰 500여 개 유출 — 국수본 긴급 보안권고, PAT 지금 폐기·재발급하세요

경찰청 국가수사본부(국수본)가 7월 14일 깃허브(GitHub) 접속에 쓰이는 개인 액세스 토큰(PAT) 500여 개가 유출된 사실을 확인하고 긴급 보안권고를 냈습니다. 이 토큰이 넘어가면 공격자는 아이디·비밀번호를 몰라도 비공개 저장소에 접근할 수 있어, 소스코드와 기업 비밀, 개인정보가 함께 위험해집니다. 개발자와 기업이라면 지금 바로 접속 기록을 점검하고 토큰을 재발급하는 편이 안전합니다. 오늘은 이번 유출 사건의 개요와 대응 방법을 정리했습니다. 🔐

TL;DR

국수본이 깃허브 개인 액세스 토큰(PAT) 500여 개 유출을 확인하고 7월 14일 보안권고를 배포했습니다.
PAT는 아이디·비밀번호 없이 비공개 저장소에 접근할 수 있는 인증 수단이라, 유출 시 소스코드·기업정보 탈취로 이어질 수 있습니다.
최근 1~3개월 접속 기록을 확인하고, 침해 정황이 있으면 기존 토큰을 즉시 폐기·재발급하라는 것이 핵심 권고입니다.

🚨 무슨 일이 있었나?

깃허브 계정의 접속 권한이 한꺼번에 새어 나간 사건입니다. 경찰청 국가수사본부는 7월 14일, 깃허브 접속에 쓰이는 개인 액세스 토큰(PAT)이 다수 유출된 사실을 확인하고 수사 중이라고 밝혔습니다. 지금까지 접속 권한이 유출된 것으로 파악된 계정은 500여 개이며, 국적이 확인된 피해 계정은 54개국 370여 개, 이 가운데 국내 계정은 30여 개로 전해집니다. 나머지 계정의 국적은 아직 확인되지 않았습니다.

발단은 다른 사이버범죄 수사였습니다. 경찰이 별개 사건의 피의자가 다른 사람의 깃허브 토큰을 갖고 있는 것을 발견하면서 유출 정황이 드러났고, 7월 9일 유출 사실을 파악했습니다.

🔑 개인 액세스 토큰(PAT)이 뭐길래?

개인 액세스 토큰은 사용자가 비공개 저장소에 접근하거나 명령줄·자동화 도구에서 깃허브에 접속할 때 쓰는 인증 수단입니다. 아이디·비밀번호를 대신하는 열쇠인 셈인데, 바로 이 점이 이번 유출을 위험하게 만듭니다.

그래서 이 토큰 한 줄이 공격자 손에 들어가면, 계정의 아이디와 비밀번호를 몰라도 저장소에 무단으로 접근할 수 있습니다. 공격자는 저장소에 담긴 소스코드는 물론, 코드 안에 적혀 있던 다른 시스템 접속 정보까지 확보해 기업의 주요 시스템으로 침투를 넓힐 수 있습니다. 토큰 하나가 새어 나가는 순간 소스코드와 기업 비밀, 개인정보 탈취로 곧장 이어질 수 있는 것입니다.

🛡️ 깃허브와 경찰은 어떻게 대응했나?

경찰은 유출 사실을 확인한 뒤 곧바로 운영사인 마이크로소프트(깃허브)에 통지하고, 인터폴과도 정보를 공유했습니다. 깃허브 측은 유출된 토큰을 폐기하고 해당 이용자들에게 경고하는 등 필요한 보안 조치를 마쳤다고 경찰에 알려 왔습니다.

경찰은 추가 피해를 막기 위해 국내 기업과 개발자를 대상으로 보안권고문을 배포했습니다. 다만 운영사 차원의 조치가 끝났더라도 개별 이용자의 점검은 별개인 만큼, 스스로 접속 기록과 토큰 상태를 확인하는 절차가 필요합니다.

✅ 지금 무엇을 해야 하나?

지금 가장 급한 일은 접속 기록을 살펴보고 토큰을 다시 발급받는 것입니다. 경찰이 권고한 내용을 순서대로 짚어 보겠습니다.

먼저, 최근 1~3개월 사이 비정상적인 접속 기록이 있는지 확인하고, 침해 정황이 보이면 기존 개인 액세스 토큰을 즉시 폐기한 뒤 새로 발급받아야 합니다. 여기에 더해 접근 권한에 다중인증(MFA)을 적용하고, 계정마다 권한을 최소한으로 좁혀 세분화하는 것이 좋습니다. 소스코드 안에 주요 시스템 접속 정보(비밀번호·키·토큰 등)를 그대로 적어 두지 않는 것도 기본 수칙입니다. 마지막으로 개발자 PC의 보안 상태를 정기적으로 점검해, 토큰이 저장된 단말이 먼저 뚫리는 상황을 막아야 합니다.

📝 총평

이번 사건은 아이디·비밀번호가 아니라 ‘토큰’ 하나가 계정 전체의 열쇠가 되는 개발 환경의 특성이 그대로 드러난 사례입니다. 유출 규모가 500여 개, 국내 계정만 30여 개에 이르고, 저장소 안 소스코드와 그 안에 적힌 접속 정보까지 위험에 노출될 수 있다는 점에서 가볍게 볼 사안은 아닙니다. 운영사와 경찰의 조치가 이뤄졌더라도 개별 계정 점검은 결국 이용자 몫인 만큼, 접속 기록 확인과 토큰 재발급, 다중인증 적용을 미루지 않는 것이 좋겠습니다.

※ 본 글은 정보 제공 목적으로 작성한 보안 안내입니다.

출처