보안 스캔 도구 Trivy, 공급망 공격에 감염 — GitHub 자격증명 도용

취약점 스캔 도구 Trivy가 공급망 공격을 당했다. 보안 점검 용도로 개발자들이 널리 사용하는 이 오픈소스 도구에 CanisterWorm이라는 악성코드가 심어졌다. 보안 도구를 신뢰하고 실행한 개발자들의 GitHub 자격증명이 도용됐다.

아이러니가 극명하다. 보안을 지키기 위해 사용하는 도구가 공격의 통로가 된 것이다. 개발자가 보안 스캔을 실행할수록 오히려 자격증명이 유출되는 구조였다. 공급망 공격은 소프트웨어를 직접 해킹하는 대신 그 소프트웨어가 의존하는 라이브러리나 도구를 감염시키는 방식으로, 신뢰 관계를 악용한다는 점에서 특히 위험하다.

이 사건은 소프트웨어 공급망 보안의 근본적 한계를 보여준다. 아무리 코드를 검증해도 검증 도구 자체가 감염되면 방어선 전체가 무너진다. 개발 파이프라인의 모든 단계에서 다층 검증이 필요하다는 교훈을 남긴다.