북한 해커, 오픈소스 4종 공격…클라우드 10% 2시간 만에 영향

북한과 연계된 해킹 조직이 전 세계 개발자들이 널리 쓰는 오픈소스 라이브러리 4개를 공격한 사실이 확인됐다. 전자상거래 기업 아마존이 공식 보안 보고서를 통해 이 같은 내용을 처음 공개했으며, 미국의소리(VOA) 방송이 31일 보도했다. 아마존 위협정보팀은 '액시오스', '디버그', '초크', '타이포-크립토' 등 유명 라이브러리 4개에 대한 해킹이 모두 북한 연계 조직 1곳의 소행이라고 분석했다.

이 조직은 보안업계에서 '사파이어 슬릿', '스타더스트 천리마', '블루 노로프', '케이지 카멜리온' 등 다양한 이름으로 불려 왔다. 액시오스 공격은 기존에 알려졌지만, 나머지 3개 라이브러리 공격이 같은 조직의 소행이라는 점은 이번에 처음 공개됐다. 보안업체 위즈리서치에 따르면 '디버그'와 '초크' 공격으로 단 두 시간 만에 전 세계 클라우드 환경의 약 10%가 영향을 받은 것으로 나타났다.

개발자들은 소프트웨어를 만들 때 이미 공개된 오픈소스 라이브러리를 부품처럼 활용하는 경우가 많다. 널리 쓰이는 라이브러리에 악성코드가 숨겨지면 이를 사용한 완제품 소프트웨어까지 해킹 위험에 노출된다. 북한 해커 조직이 노린 라이브러리들은 주당 수억 회씩 다운로드되는 프로그래밍 구성요소로, 전 세계 수많은 소프트웨어에 내장되어 있다. 아마존은 "소수의 인기 라이브러리를 해킹하면 수천 개의 하위 환경에 동시에 접근할 수 있어 조직을 하나씩 공격하는 것보다 훨씬 효율적"이라고 분석했다.

한편 글로벌 블록체인 보안업체 블록에이드가 29일 공개한 '2026년 상반기 온체인 보안 보고서'에 따르면 올해 1∼6월 전 세계 가상자산 해킹 피해액 총 11억 달러 가운데 북한 라자루스 그룹 산하 '트레이더트레이터'가 6억9천만 달러를 해킹해 전체의 55%를 차지한 것으로 분석됐다. 이번 오픈소스 공격과 가상자산 탈취는 북한 해킹 조직의 활동이 소프트웨어 공급망과 금융 시스템 전반으로 확대되고 있음을 보여준다. 보안 전문가들은 개발자들이 라이브러리 의존성을 주기적으로 점검하고, 공급망 보안 강화에 나서야 한다고 지적한다.