😱 요즘 핫한 '바이브 코딩' 내 컴퓨터에 해커가 숨어들었을지도 몰라요!

구독자님 안녕하세요, 혹시 구독자님도 요즘 핫한 바이브 코딩에 빠져 계신가요? 코딩을 몰라도 AI에게 말만 하면 프로그램을 만들어주는 시대가 오면서, 최근 Claude Code를 설치해서 사용해보려는 분들이 정말 많아졌어요. 🧑‍💻

그런데 이렇게 일반인들도 개발 도구를 많이 사용하게 된 시점에, 하필이면 전 세계 개발자들이 믿고 쓰는 Axios에서 아주 치밀한 침해 사고가 발생했습니다. 전 세계 개발자들이 믿고 쓰는 Axios가 어떻게 거대한 연극에 속아 넘어갔는지, 이번 뉴스레터에서는 Axios 공급망 침해 사고의 전말을 같이 살펴보도록 하겠습니다!

🚨 가짜 슬랙과 팀즈 회의, 이게 진짜가 아니라고?

출처: Github Axious issue

이번 공격은 정말로 치밀했어요. 공격자들은 기술적인 해킹 이전에 사회 공학적 공격이라고 부르는 수법을 사용했는데요, 쉽게 말해서 "기술적인 허점을 찾는 게 아니라, 사람의 심리와 신뢰를 이용해 속이는 수법"을 뜻해요.

공격자들은 실제 회사의 창업자를 똑같이 흉내 내어 Axios 최고 관리자에게 접근했습니다. 🥷 관리자를 실제 회사처럼 꾸며진 슬랙(Slack)으로 초대했는데, 그곳엔 링크드인 게시물이 올라오는 채널과 다른 유명 개발자들의 가짜 프로필까지 완벽하게 세팅되어 있었죠.

이후 MS 팀즈 화상 회의에서 "시스템 일부가 최신 버전이 아니네요” 라며 업데이트를 유도했습니다. 관리자는 전문적인 회의 분위기에 속아 파일을 설치했지만, 사실 그것은 해커가 보낸 RAT(Remote Access Trojan)로 해커가 원격에서 컴퓨터를 마음대로 조종할 수 있게 해주는 악성코드였어요.

🗝️ 오래된 열쇠의 중요성과 치밀한 사전작업

 출처: GitHub Axios post-mortem

해커는 관리자의 컴퓨터를 장악한 뒤, 컴퓨터의 구석구석을 모두 뒤졌어요. 그리고 결국 관리자가 예전에 쓰던 Git API 토큰을 찾아냈습니다.🔑 관리자가 지금 사용하던 토큰은 2차 인증까지 설정해서 관리를 하고 있었지만 예전 토큰은 2차 인증이 되어있지 않았던 거죠. 결국 활성화 상태로 남아있던 이 옛날 토큰이 화근이었어요.

해커는 이 토큰을 이용해 Axios를 배포하는 NPM 계정까지 단숨에 점령했고, 곧바로 치밀한 밑작업을 시작했습니다. 바로 plain-crypto-js라는 가짜 라이브러리를 npm에 게시한거죠.🕵️‍♀️ 해커는 의심을 피하려고 당시 유명한 암호화 도구인 crypto.js의 이름뿐만 아니라 버전(4.2.0) 까지 똑같이 맞추어 게시했어요. 그리고 crypto.js의 저장소 url과 동일한 설명으로 치밀하게 위장했어요.

🤖 악성코드를 어떻게 주입했는가?

출처: BuildAI

준비가 끝나자 해커는 본색을 드러냈습니다. plain-crypto-js를 4.2.1로 업데이트하며 그 안에 드로퍼를 심어버린 거예요.

이 드로퍼는 사용자의 운영체제(Windows/Mac/Linux)를 확인해 피해자의 운영체제에 맞는 악성코드를 내려받아요. 다운로드된 악성코드는 실행된 뒤에 자기 자신을 스스로 삭제해서 흔적조차 찾기 힘들게 만들었답니다! 👻

그리고 공격자는 곧바로 Axios도 업데이트를 했답니다. 처음에는 Axios와 plain-crypto-js와는 아무런 연관이 없었어요. 하지만 Axios를 1.4.1 및 0.30.4 버전으로 업데이트 하면서 사용자가 npm install 명령어를 사용하면 plain-crypto-js를 자동으로 설치하고 실행하도록 만들어 버렸어요.

이 사실을 발견한 부 관리자가 급히 수정하려 했지만, 권한이 더 높은 해커가 코드를 계속 되돌리는 바람에 속수무책이었어요.😰 결국 NPM 관리자가 직접 개입해 가짜 라이브러리를 삭제하면서 상황은 종료되었습니다.

🖥️ 3월 31일 새벽, '클로드 코드'를 설치하셨나요? 

문제는 타이밍입니다. 2026년 03월 31일 00:21부터 03:29 UTC 사이에 Axios 공급망 공격이 발생했어요. 하지만 이 기간에 Claude Code는 엄청난 사고가 발생하죠. 바로 소스코드 유출이 이때 발생했어요. 혹시 이 시간에 NPM을 통해 Claude Code를 설치하거나 업데이트한 분들이라면 이 악성코드에 감염되었을 확률이 매우 높아요. 🤖

원래는 개발자들을 겨냥한 공격이었지만, 최근 AI 코딩 붐으로 일반인들도 관심이 많고 특히 같은 날 발생한 Claude Code의 소스코드 유출로 피해 범위가 예상치 못하게 넓어진 것이죠. 이런 식의 공격을 공급망 공격(Supply Chain Attack)이라고 부르는데, 예를 들어서 "식재료 공장을 공격해 그 재료를 쓴 수많은 식당의 손님들에게 한꺼번에 피해를 주는 방식"을 말해요.

마무리

전문적인 연극단처럼 조직적인 사회 공학적 공격과 잊고 있던 '낡은 열쇠' 하나가 결합해 발생한 무서운 사건이었어요. AI 덕분에 누구나 코딩하는 즐거운 시대가 왔지만, 그만큼 우리가 쓰는 도구가 안전한지 한 번 더 확인하는 습관이 중요해진 것 같아요. 🐥

최근 일주일 사이에 Claude Code를 설치하셨나요? 만약 3월 31일 새벽에 설치했다면 지금 바로 점검 해보세요!

그럼 다음 주에도 유익한 소식과 함께 올게요~ 👋

구독자님, 오늘 뉴스레터는 어떠셨나요?
해킹/보안 관련 콘텐츠를 계속 받아보고 싶으시다면 구독 부탁드려요! 🙌