OpenAI says hackers stole some data after latest code security issue

개요

OpenAI는 최근 오픈소스 프로젝트 공급망 공격의 일환으로 두 명의 직원이 사용하는 기기가 영향을 받았다고 확인했으나, 사용자 데이터나 생산 시스템, 지적 재산권 침해 증거는 발견되지 않았다고 발표했습니다.

주요 내용

* 해커들이 다수의 기업이 사용하는 오픈소스 프로젝트를 장악하고 악성코드 확산을 목적으로 하는 업데이트를 푸시하는 공급망 공격이 발생했습니다.
* OpenAI는 이번 공격으로 인해 두 명의 직원이 사용하는 기기가 영향을 받았음을 확인했으나, 자체 조사 결과 OpenAI 사용자 데이터 접근, 생산 시스템 또는 지적 재산권 침해, 소프트웨어 변경 등의 증거는 발견되지 않았다고 밝혔습니다.
* 영향을 받은 직원의 기기는 TanStack에 대한 이전 공격으로 인해 감염되었으며, TanStack은 84개의 악성 소프트웨어 버전을 6분 동안 배포했음을 공개했습니다.
* 악성 TanStack 버전에는 감염된 컴퓨터에서 자격 증명을 탈취하고 다른 시스템으로 확산되는 악성코드가 포함되었습니다.
* OpenAI는 공격받은 두 직원이 접근할 수 있었던 내부 소스 코드 저장소의 일부에서 무단 접근과 자격 증명 도난이 있었음을 발견했으며, 이에 따라 디지털 인증서 순환을 진행하고 있습니다.
* 영향을 받은 저장소에 OpenAI 제품 서명에 사용되는 디지털 인증서가 포함되어 있었기 때문에, 모든 제품에 대한 서명 인증서를 재발급하며 macOS 사용자는 앱 업데이트가 필요합니다.
* 기존 소프트웨어 설치에 대한 침해나 위험 증거는 발견되지 않았습니다.
* TanStack 공격의 배후는 불분명하나, 과거에는 TeamPCP와 같은 해킹 그룹이나 북한, 중국 해커들이 유사한 오픈소스 공급망 공격을 수행한 바 있습니다.
* 이러한 공급망 공격은 특정 기업을 직접 표적으로 삼는 대신 오픈소스 프로젝트를 탈취하여 악성코드가 포함된 업데이트를 배포함으로써 단일 공격으로 다수의 대상을 감염시키는 방식을 사용합니다.

시사점

이번 사건은 오픈소스 소프트웨어 공급망의 취약성을 다시 한번 드러내며, 개발자 및 기업은 잠재적인 보안 위협에 대한 경계를 늦추지 않고 철저한 보안 조치를 강구해야 함을 시사합니다.