에스코어 인사이트
원문에 앞서 국내 개발·보안 조직이 함께 점검할 만한 사항을 간단히 정리했습니다.
•
패키지 유입 단계 통제: 개발자나 자동화 도구가 의존성을 설치하기 전에 최신 악성 패키지 정보를 확인하고, 알려진 위협은 개발 환경에 들어오기 전에 차단합니다.
•
AI 추천 의존성 검증: AI 코딩 도구가 추천한 패키지도 일반 의존성과 같은 정책과 최신 소프트웨어 인텔리전스로 검증해 추천 속도가 검증 절차를 앞서지 않도록 합니다.
•
가시성 지표 해석: 악성 패키지 차단 건수가 적다는 이유만으로 위험이 낮다고 판단하지 말고, 실제 다운로드 시도와 차단 지점을 함께 확인해 탐지 가시성까지 점검합니다.
Sonatype 원문 번역
공개 오픈소스 레지스트리에 공격자가 악성 패키지를 올린다는 사실은 오래전부터 알려져 있습니다. 더 중요한 질문은 그런 패키지가 실제 기업의 개발 환경까지 들어오고 있느냐는 것입니다.
Sonatype의 악성코드 인텔리전스 데이터에서는 악성 오픈소스 활동의 변화를 확인할 수 있습니다. Sonatype의 보호를 받는 금융 서비스 조직에서 수집한 텔레메트리를 보면 이러한 위협이 실제 기업의 개발 워크플로에 유입되는 사례도 늘고 있습니다. 다만 이 수치를 공격자가 어느 산업을 가장 적극적으로 노리는지를 나타내는 순위로 해석해서는 안 됩니다. 금융 서비스 업계는 소프트웨어 사용 규모가 크고 소프트웨어 거버넌스가 성숙해 이런 활동을 상대적으로 더 잘 관찰할 수 있기 때문입니다.
이 때문에 금융 서비스 업계에서 관찰되는 변화는 다른 산업이 앞으로 마주할 위험을 미리 가늠하는 조기 경보가 될 수 있습니다.
악성 패키지가 개발 워크플로에 유입되는 사례가 늘고 있다
Sonatype의 악성코드 인텔리전스에 따르면 AI 시대에 들어 악성 오픈소스 활동이 크게 늘었습니다. 공격자도 코드가 프로덕션에 도달하기 전 소프트웨어 선택 단계에 개입하는 데 점점 더 집중하고 있습니다.
금융 서비스 분야의 텔레메트리에서도 이러한 변화가 실제 기업의 소프트웨어 사용 과정에서 나타나고 있음을 확인할 수 있습니다. Sonatype의 보호를 받는 금융 서비스 조직에서는 개발 환경에 들어오기 전에 차단된 악성 패키지 수가 지난 몇 년 동안 크게 늘었습니다.
특히 2025년에 증가세가 두드러졌습니다. 이들 조직은 한 해 동안 악성 패키지 893개를 차단했습니다. 2026년 2분기 말까지는 이미 572개를 차단해 전년도 전체의 64%를 넘었습니다.
이 수치는 단순히 악성 패키지가 공개 레지스트리에 존재한다는 사실만을 의미하지 않습니다. 악성 패키지가 실제 기업의 소프트웨어 선택 단계까지 도달하고 있으며, 예방 통제가 이를 개발 환경에 들어오기 전에 차단하고 있다는 뜻입니다.
이러한 변화는 악성 오픈소스가 더 이상 드문 예외가 아님을 시사합니다. 일상적인 기업 개발 워크플로에서도 악성 오픈소스가 발견되는 사례가 늘면서, 소프트웨어 유입 단계에서 예방 통제를 적용하는 일이 더욱 중요해지고 있습니다.
금융 서비스 업계에서 위협이 더 잘 보이는 이유
금융 서비스는 규제가 강한 산업입니다. 많은 금융 서비스 조직은 성숙한 소프트웨어 거버넌스 체계와 엄격한 보안 통제를 운영하며, 덕분에 소프트웨어 공급망에서 일어나는 활동을 더 잘 파악할 수 있습니다. 이처럼 높은 가시성 덕분에 금융 서비스 업계에서는 보호 체계가 덜 성숙한 조직에서 잘 드러나지 않는 위협을 더 일찍 확인할 수 있습니다.
규제 기관의 감독에 대응하기 위해 많은 금융 기관은 정책 적용, 중앙 저장소, 소프트웨어 공급망 통제, 소프트웨어 구성 분석(SCA)에 투자해 왔습니다. 이러한 역량을 함께 갖추면서 소프트웨어 도입 과정에서 발생하는 위험을 더 명확하게 파악할 수 있게 됐습니다.
모니터링하지 않는 악성 패키지는 식별할 수 없습니다. 보호 조치가 소프트웨어 개발 수명주기(SDLC)의 뒤쪽에서 시작될수록 소프트웨어를 고르는 순간에 발생하는 악성 활동은 눈에 띄기 어렵습니다.
금융 서비스가 '코드 광산의 카나리아'가 될 수 있는 이유도 여기에 있습니다. 성숙한 거버넌스와 보안 통제 덕분에 소프트웨어 공급망에서 일어나는 활동을 더 잘 관찰할 수 있고, 최근 공격 방식이 어떻게 변하고 있는지도 더 명확하게 파악할 수 있습니다.
반대로 통제가 덜 성숙한 조직은 상당한 위험에 노출돼 있어도 악성 패키지 차단 건수가 적을 수 있습니다. 탐지 건수가 적다고 더 안전한 개발 환경이라고 볼 수는 없습니다. 단지 위험을 볼 수 있는 범위가 좁기 때문일 수도 있습니다.
AI가 소프트웨어 신뢰 판단을 가속하고 있다
오늘날 애플리케이션은 처음부터 모든 코드를 직접 작성하기보다 오픈소스 패키지, 서드파티 컴포넌트, 컨테이너, AI 생성 코드, 소프트웨어 추천을 조합해 만드는 경우가 많습니다. AI 코딩 어시스턴트와 자율형 에이전트는 다음과 같이 소프트웨어 선택을 가속합니다.
•
몇 초 만에 새로운 소프트웨어 의존성을 찾습니다.
•
개발자가 익숙하지 않은 패키지를 사용하는 구현 코드를 만듭니다.
•
더 짧은 시간에 더 많은 컴포넌트를 평가하고 도입합니다.
생산성이 높아지는 만큼 소프트웨어를 신뢰해도 되는지 판단해야 하는 횟수도 늘고, 판단도 더 빠르게 내려야 합니다.
공격자도 이에 맞춰 움직이고 있습니다. 광범위한 악성코드 캠페인에만 의존하지 않고, 개발자나 AI 시스템이 처음부터 어떤 컴포넌트를 선택하도록 만들지에 영향을 미치려는 시도가 늘고 있습니다. 익숙한 라이브러리, 플러그인, 유틸리티와 비슷해 보이는 패키지는 선택되고 설치될 때까지 정상 패키지처럼 보일 수 있습니다.
금융 서비스 조직에서 차단된 악성 패키지가 증가했다는 사실만으로 그 원인을 AI라고 단정할 수는 없습니다. 다만 소프트웨어를 선택하는 방식 자체가 달라지고 있다는 점은 확인할 수 있습니다. 소프트웨어 선택이 빨라지고 자동화와 추천에 대한 의존도가 높아질수록, 기존 보안 통제가 개입하기 전에 공격자가 신뢰를 악용할 기회도 늘어납니다.
개발이 상당 부분 진행된 뒤 수행하는 보안 스캔만으로는 패키지 선택 단계에서 발생하는 공격을 놓칠 수 있다
개발이 상당 부분 진행된 뒤 수행하는 보안 스캔도 여전히 중요하지만, 설치 과정에서 실행되도록 만들어진 악성 패키지에는 너무 늦을 수 있습니다. 기존 애플리케이션 보안 프로그램은 컴포넌트가 빌드나 애플리케이션에 들어간 뒤 위험을 찾는 데 초점을 맞추는 경우가 많습니다.
Sonatype의 연구에 따르면 2025년에 분석한 악성 패키지의 53%가 설치 시점에 개발자 환경을 노렸습니다. 즉 위험이 발생하는 시점이 개발자, 코딩 어시스턴트 또는 자동화 프로세스가 의존성을 선택해 다운로드하는 순간까지 앞당겨졌습니다.
이런 패키지는 설치된 뒤 다음과 같은 동작을 시도할 수 있습니다.
•
자격증명, 액세스 토큰, 시크릿을 탈취합니다.
•
호스트나 시스템 정보를 수집합니다.
•
CI/CD 단계에 도달하기 전에 개발자 워크스테이션을 침해합니다.
개발이 상당 부분 진행된 뒤 보안 스캔을 수행할 때는 이미 피해가 발생했을 수 있습니다.
금융 기관의 개발 환경은 민감한 시스템, 내부 저장소, 클라우드 서비스, 독점 코드와 연결되는 경우가 많기 때문에 이 차이는 특히 중요합니다. 보안 통제는 프로덕션에 무엇이 도달하는지만 관리해서는 안 됩니다. 애초에 개발 환경에 무엇이 들어오는지도 함께 관리해야 합니다.
다른 산업은 금융 서비스에서 무엇을 배워야 할까?
다른 산업은 가시성이 낮다고 위험도 낮다고 생각해서는 안 됩니다. 금융 서비스 데이터는 특히 오픈소스 사용과 AI 기반 개발로 소프트웨어 선택 속도가 빨라지는 상황에서, 개발자와 자동화 도구가 어떤 소프트웨어를 받아들이려 하는지 더 잘 파악해야 하는 이유를 보여줍니다.
조직은 최소한 다음 질문에 답할 수 있어야 합니다.
•
개발자와 자동화 도구가 어떤 패키지를 다운로드하려 하는가?
•
이미 알려진 악성 또는 의심 컴포넌트를 설치 전에 막을 수 있는가?
•
AI가 추천한 의존성을 최신 소프트웨어 인텔리전스와 대조해 평가하는가?
•
팀, 저장소, 개발 환경 전반에 같은 소프트웨어 정책을 일관되게 적용하는가?
•
보안팀이 '위험이 낮은 상태'와 '위험이 잘 보이지 않는 상태'를 구분할 수 있는가?
이 질문들은 개발이 상당 부분 진행된 뒤 문제를 찾아내는 방식에서 벗어나, 사전에 위험을 통제하는 거버넌스로 보안의 초점을 옮기게 합니다. 목표는 오픈소스 사용을 없애거나 모든 의존성 선택을 느리게 만드는 것이 아닙니다. 개발 속도가 빨라져도 충분한 정보를 바탕으로 소프트웨어를 선택하도록 하는 것입니다.
소프트웨어 보안은 유입 지점에서 시작해야 한다
소프트웨어 거버넌스는 컴포넌트가 개발 환경에 들어오기 전에 시작할 때 가장 효과적입니다. 금융 기관에는 소프트웨어가 공급망에 처음 들어오는 지점에서 작동하는 보안 통제가 필요합니다.
Sonatype Firewall은 요청된 컴포넌트를 평가하고, 확인된 위협을 자동으로 차단하거나 격리해 신뢰할 수 있는 의존성으로 자리 잡기 전에 유입을 막습니다. Sonatype Lifecycle은 애플리케이션 전반의 오픈소스 위험을 지속적으로 식별하고 우선순위를 정해 관리함으로써 보호 범위를 넓힙니다.
목표는 모든 개발자를 악성코드 분석가로 만드는 것이 아닙니다. 소프트웨어를 선택하는 순간 신뢰할 수 있는 인텔리전스와 조직 정책이 자동으로 적용되게 하는 것입니다.
금융 기관은 이렇게 개발 속도를 유지하면서 거버넌스, 감사 가능성, 운영 복원력을 강화할 수 있습니다. AI로 소프트웨어 관련 의사결정이 늘어날수록 이런 통제를 자동화하는 일도 더 중요해집니다.
오늘 금융 서비스에서 보이는 흐름이 내일의 기업 과제가 된다
금융 서비스에서 지금 나타나는 흐름은 다른 기업이 앞으로 마주할 과제가 될 가능성이 큽니다. 금융 서비스 업계에서는 소프트웨어 공급망 공격이 어떻게 달라지고 있는지 비교적 선명하게 보입니다.
차단되는 악성 패키지가 늘고 있다는 사실은 이런 위협이 더 이상 공개 레지스트리에만 머물지 않는다는 뜻입니다. 개발자와 AI 기반 도구가 소프트웨어를 신뢰할지 판단하는 실제 기업 개발 워크플로까지 위협이 들어오고 있습니다.
금융 기관이 성숙한 거버넌스 체계 덕분에 이 흐름을 먼저 보고 있을 수는 있습니다. 하지만 그 배경에 있는 AI 기반 개발, 빨라진 소프트웨어 선택, 자동화 확대는 모든 산업의 소프트웨어 개발 방식을 바꾸고 있습니다.
소프트웨어 거버넌스를 유입 지점으로 앞당기는 조직이 변화하는 위협 환경에 더 잘 대응할 수 있습니다.
더 자세한 내용은 정밀 표적 공격, 개발자 중심 공격, 갈수록 정교해지는 악성 패키지 기법으로의 변화를 다룬 The Trust Economy of Software: How AI Is Reshaping Software Supply Chain Risk for Financial Services를 참고하세요.
에스코어는 Sonatype 공식 파트너로서 소프트웨어 공급망 보안 및 오픈소스 거버넌스 구축을 지원합니다.
도입이나 구축이 필요하시면 언제든 문의해 주세요.
지원 솔루션: Nexus Repository · Repository Firewall · Lifecycle · Sonatype Guide