2025년 초, 깃허브는 혼란과 불안으로 가득 찼다. 수천 명의 개발자가 개인 공개 저장소에서 ‘보안 경고: 비정상 접근 시도(Security Alert: Unusual Access Attempt)’가 붙은 의심스러운 문제를 여럿 발견했다. 문제는 그것이 깃허브의 공식 경고가 아니었다는 점이다. 공격자가 깃허브 지원팀을 사칭해 사고 대응을 가장하고, 개발자에게 악성 OAuth 앱(gitsecurityapp)의 권한 부여를 유도한 것이었다.

제로데이도 아니고, 자격 증명 탈취도 아니었다. 그저 OAuth가 대규모로 악용된 것이었다.

소프트웨어 공급망을 겨냥한 OAuth 기반 공격 중 첫 사례는 아니었지만, 이 사건은 가장 주목을 끌었다. 공격자는 생태계를 잘 알고 있었다. 개발자는 깃허브의 사용자 인터페이스를 신뢰하기 때문에 OAuth 범위를 자세히 읽지 않고 넘어가는 경우가 많고, 서드파티 앱을 연결한 이후 권한 사용을 실질적으로 통제하지 않는 기업도 많다.

기술적 분석 전문은 베자 블로그에서 확인할 수 있다. 여기에선 핵심 내용만 정리한다.

정작 문제는 가시성 부족

OAuth는 개발자의 작업 방식에 깊숙이 통합되어 있다. 깃허브 액션, CI/CD 파이프라인, 저장소 동기화, 클라우드 IDE 등 대부분이 OAuth 토큰과 API 범위에 의존한다. 그러나 SAML이나 OIDC와 달리, OAuth 앱은 정책, 로깅, 거버넌스와 연결되지 않아 보안 시스템의 레이더에 잘 포착되지 않는다. 공격자는 정확히 이 점을 노렸다.

사용자가 승인 버튼을 클릭하는 순간, 악성 앱은 저장소 수준의 권한을 획득했다. 여기에 포함된 항목은 다음과 같다.

• 소스 코드 접근

• 깃허브 액션의 비밀 및 자동화 토큰
• 테라폼, 풀루미 등과 연동된 인프라 프로비저닝
• 하드코딩된 API 키 및 자격 증명
• 일부 기업의 메타데이터에 대한 읽기/쓰기 권한

이 권한을 활용해 공격자는 저장소 간 횡이동, 코드 유출, 백도어 심기, 빌드 조작을 수행할 수 있었다. 단순한 저장소 관리 문제가 아니라, 정체성 기반 경계 붕괴 문제였다.

개발 환경 내 정체성 보안의 사각지대

전통적인 IAM(정체성 및 접근 관리) 도구는 이러한 상황을 처리할 수 있도록 설계되지 않았다. CSPM(클라우드 보안 상태 관리) 솔루션은 깃허브 OAuth를 감시하지 않고, CI/CD 보안 도구는 빌드 타임의 문제에 집중하며 정체성 간 관계는 고려하지 않는다. SSO(싱글 사인온) 제공자가 로그인 정책을 적용할 수는 있어도, OAuth 앱은 인증 이후 별도 권한으로 접근하기 때문에 이 통제 범위를 벗어난다.

공격자는 바로 그 틈을 파고들었다.

이번 깃허브 사건은 보안팀이 오래전부터 의심해온 현실을 드러냈다. 개발 환경의 정체성 확산 문제가 심각하다는 점이다. 사람과 시스템을 포함한 정체성이 기하급수적으로 증가하고, 권한은 계속 누적되며, 서드파티 앱은 보안의 약한 고리로 남아 있다.

이 지점에서 등장하는 것이 ISPM(정체성 보안 상태 관리)이다. ISPM은 CSPM의 핵심 개념—지속적인 모니터링, 상태 점수화, 위험 기반 통제—을 정체성에 적용한다. 단순히 누가 로그인할 수 있는지 파악하는 데 그치지 않고, 누가 어떤 권한을 가지고 있고, 그 이유는 무엇이며, 무엇을 할 수 있는지, 어떤 방식으로 권한을 획득했는지까지 살핀다. 여기에는 OAuth 경로도 포함된다.

정체성 보안 상태 관리를 통한 가시성 확보

최신 정체성 보안 플랫폼은 이 간극을 메우고 있다. 선도적 솔루션은 개발자, 서비스 계정, 서드파티 OAuth 앱 전반에 걸쳐 구성된 복잡한 권한 구조를 깊이 있게 시각화할 수 있다. 단순히 토큰 존재 여부만으로는 충분하지 않다. 이제는 토큰의 발급자, 권한 범위, 연결 시스템, 환경별 권한 비교 등 전체 맥락을 파악해야 한다.

적절한 플랫폼이 구축되면 보안팀은 다음과 같은 작업을 수행할 수 있다.

• OAuth 앱의 권한 및 사용 맥락을 포함한 전체 인벤토리 및 모니터링

• 사람 및 시스템 정체성 간 권한 편차 탐지 – 임시 권한이 영구 노출로 전환되는 것 방지
• 개발 도구 및 CI/CD 파이프라인 전반에 최소 권한 원칙 적용 – 속도를 저해하지 않음
• 프로덕션 환경에서 ‘양호 상태’ 기준이 되는 재사용 가능한 접근 가드레일(또는 접근 프로필) 정의
• 정체성 상태를 지속적으로 감시해 과도한 권한 경로, 오탐지 위험 등을 사전 탐지

이러한 기능은 가트너 등 분석 기관이 정의하는 ISPM의 핵심에 해당한다. 정체성과 접근이 만나는 경계를 선제적으로 보호하는 것이며, 특히 개발 환경에서는 그 위험도와 확산 규모가 가장 크다.

깃허브 OAuth 거버넌스 : 대표적인 ISPM 활용례

깃허브는 이제 단순한 버전 관리 도구가 아니라, 기업 내에서 정체성이 가장 밀집된 플랫폼으로 진화했다. 그러나 플랫폼이 확장되면서 위험도 함께 커지고 있다. 특히 OAuth 앱은 과도한 권한, 부실한 모니터링, 악용 가능성이라는 지뢰밭이기도 하다.

ISPM 관점에서는 단순한 구성 관리 문제가 아니다. 실질적인 보안 통제 공백이다. 최신 정체성 보안 플랫폼은 사용자가 승인한 깃허브 정체성(사용자, 서비스 계정, 팀)과 OAuth 권한 범위 간의 관계를 지속적으로 매핑하며 이 간극을 메우고 있다. 목표는 권한 상태의 편차를 사전에 탐지해 침해로 이어지기 전에 조치하는 것이다.

주요 기능은 다음과 같다.

• 승인된 OAuth 앱, 권한 범위, 대상 저장소의 실시간 매핑

• 기준 정책을 초과하는 쓰기 또는 관리자 권한 범위 탐지를 통한 권한 편차 식별
• 누가 언제 어떤 승인 결정을 내렸는지 파악 가능한 권한 부여 출처 명확화
• 최소 권한 가드레일 기반으로 과도한 권한 앱을 탐지하거나 차단하는 정책 적용

이제는 주기적인 감사를 기다리거나 수작업으로 저장소를 검토할 필요가 없다. 이러한 솔루션은 데브섹옵스 생애주기에 상태 평가를 직접 통합해, 문제를 조기에 파악하고 정책을 지속적으로 적용하며 개발 속도를 유지하면서도 보안을 확보할 수 있도록 돕는다.

깃허브 OAuth 거버넌스는 이제 ISPM의 최전선 활용 사례로 자리 잡았다. 이 권한 범위를 직접 모니터링하지 않으면, 결국 다른 누군가가 하게 될 것이다.

개발자 경험에 대하여

현실적으로, 개발자는 더 많은 보안 도구나 정책, 마찰을 원하는 것이 아니다. 개발자가 원하는 것은 명확성이다. 특히 그것이 다음 침해 사고에서 벗어나는 데 도움이 된다면 말이다. 바로 이 점에서 가시성 우선 접근법이 효과적이다. 보안팀이 존재하는 접근 권한과 그 이유를 개발자에게 정확히 보여주면, 대화는 “왜 막는 거야?”에서 “알려줘서 고마워”로 바뀐다.

액세스 인텔리전스와 투명성을 최우선으로 하는 현대적 ISPM 플랫폼은 이러한 협업을 가능하게 한다. 깃허브에서 접근 위험을 시각화하고, 이를 실제 OAuth 범위, 사용자, 저장소와 매핑함으로써, 개발자는 속도를 늦추지 않고도 필요한 맥락을 얻을 수 있다.

보안팀은 개발자를 통제하는 것이 아니다. 위험을 가시화하고, 조치 가능하게 만들며, 본격적인 침해 사고로 번지기 전에 해결하는 것이다.

다음번 정체성 기반 공격은 선제 대응하라

깃허브 OAuth 캠페인이 보여주었듯, 이제 자격 증명만이 유일한 접근 지점은 아니다. 정체성 자체가 새로운 경계이며, 이 경계는 전통적인 IAM 통제 범위를 넘어, OAuth 권한, CI/CD 파이프라인, 서비스 연결까지 확장된다.

이제 깃허브 같은 플랫폼을 정체성 보안 전략에 포함시켜야 할 시점이다. ISPM은 사람 및 비인간 정체성 전반에 걸친 접근 가시성과 상태 관리를 결합하는 프레임워크를 제공한다.

단순히 깃허브만의 문제가 아니다. 현대 인프라를 운영하는 모든 보안팀을 향한 경고다. 접근 권한이 존재한다면, 위험도 존재한다. 정체성 중심 보안은 선택이 아니라, 이제 필수다.

dl-itworldkorea@foundryco.com