북한과 연결된 가짜 소프트웨어 패키지 그룹이 합법적인 도구로 위장하여 npm 플랫폼에 침투했습니다. 목표는 액세스 키와 토큰과 같은 개발자 비밀을 훔치는 것이었습니다. 일반 시민에게 이는 우리가 매일 사용하는 애플리케이션이나 서비스가 우리도 모르게 침해되어 개인 또는 금융 데이터가 노출될 수 있음을 의미합니다. 결론은 분명합니다: 의심스러운 업데이트에 경계하고 검증된 출처만 신뢰해야 합니다.
npm 생태계에서 사기가 작동한 방식 🛡️
공격자들은 cross-env 대신 crossenv와 같이 알려진 라이브러리와 유사한 이름의 패키지를 게시했습니다. 일단 설치되면 환경 변수, 구성 파일 및 클라우드 서비스 자격 증명을 유출하는 악성 스크립트를 실행했습니다. typosquatting으로 알려진 이 기술은 인기 있는 이름을 복사하여 개발자의 신뢰를 악용합니다. 그 범위는 광범위합니다. 해당 패키지에 의존하는 모든 프로젝트는 공급망이 손상되어 결과 소프트웨어를 사용하는 기업과 최종 사용자에게 영향을 미칠 수 있습니다.
아무것도 업데이트하지 않기 위한 완벽한 변명 😅
이제 상사가 프로젝트의 모든 종속성을 업데이트하라고 요구하면, 진지한 표정으로 이렇게 대답할 수 있습니다: 북한 해커가 사무실 계산기 코드를 훔칠 위험을 감수하고 싶지 않습니다. 왜냐하면, 네, 가장 순진해 보이는 패키지조차 함정이 될 수 있기 때문입니다. 그러니 아시겠죠? npm install을 실행하기 전에 이름을 두 번 확인하세요. 아니면 차라리 잘 작동하는 이전 버전을 고수하는 것이 낫습니다. 기술적 게으름이 마침내 긍정적인 측면을 가지게 되었습니다.