마이크로소프트 오픈소스 도구가 해킹돼 AI 개발자 비밀번호가 탈취됐다

출처: TechCrunch

Microsoft는 해커가 프로젝트를 침해하고 코드에 비밀번호를 훔치는 악성코드를 주입한 것으로 보이는 사건을 조사하면서 GitHub에 호스팅된 수십 개의 오픈소스 프로젝트에 대한 접근을 차단했습니다.

영향을 받은 많은 프로젝트는 Microsoft의 클라우드 서비스인 Azure와 AI 개발 앱으로 코딩할 때 사용되는 기타 도구들, 예를 들어 Claude Code, Gemini의 명령줄 인터페이스, VS Code와 관련되어 있습니다.

보안 업체 Cloudsmith과 커뮤니티 기반 악성코드 분석 사이트 OpenSourceMalware에서 처음으로 해킹을 알렸으며, 이 악성코드는 사용자가 AI 코딩 앱에서 손상된 도구를 열 때 사용자의 비밀번호와 기타 민감한 자격 증명을 탈취할 수 있게 했습니다.

얼마나 많은 사용자가 영향을 받은 도구를 다운로드했는지는 즉시 파악되지 않았습니다.

Microsoft는 최초로 404 Media가 보도한 대로 해당 저장소를 삭제했다고 확인했습니다.

Microsoft 대변인 Ben Hope는 TechCrunch에 “잠재적인 악성 콘텐츠를 조사하는 동안 일부 저장소를 일시적으로 제거했습니다.”라고 전했습니다.

“검토 후 복구된 저장소도 있지만, 작업이 진행되는 동안 오프라인 상태로 남을 수도 있습니다.”

“조사 과정에서 영향을 받은 저장소에서 콘텐츠를 내려받았을 가능성이 있는 소수의 고객에게 통보했습니다. 추가 조사가 진행 중이며, 고객 조치가 필요한 사항이 발견되면 기존 지원 채널을 통해 직접 연락드리겠습니다.”라고 Hope는 덧붙였습니다.

TechCrunch가 문의했을 때 Microsoft는 영향을 받은 고객 수를 즉시 제공하지 않았습니다.

GitHub(마이크로소프트가 소유한 코드 호스팅 사이트)에서 프로젝트 페이지에 접근하려 할 때 나타나는 메시지에 따르면 최소 70개의 Microsoft 소유 프로젝트가 “비활성화”되었습니다. “GitHub 직원이 GitHub 서비스 약관 위반으로 인해 이 저장소에 대한 접근을 비활성화했습니다.”

![비활성화된 GitHub 저장소를 보여주는 스크린샷: “This repository has been disabled. Access to this repository has been disabled by GitHub Staff due to a violation of GitHub’s terms of service