식스 앵귤러 타이포스쿼트, 원 포스트인스톨 훅, 같은 날 아침에 게시

(dev.to)

Dev.to AI2026년 10월 5일개발자 도구

2026년 10월, Angular 핵심 패키지의 버전과 메타데이터를 정교하게 복제하여 개발자를 속인 6개의 npm 타이포스쿼팅 악성 패키지가 발견되어 공급망 보안에 비상이 걸렸습니다.

이 글의 핵심 포인트

1@angular/core 및 @angular/cli와 유사한 이름을 가진 6개의 npm 패키지가 악성으로 식별됨
2공격자는 실제 패키지의 최신 버전인 22.2.1과 동일한 버전 번호를 사용하여 신뢰를 유도함
3postinstall 훅을 통해 gitflic.ru의 스크립트를 실행하며, Wayback Machine을 이용해 네트워크 필터를 우회함
4@angulaar/cli 패키지는 타이포스쿼팅과 의존성 혼란(dependency confusion) 기법을 결합하여 사용함
5현재 해당 악성 패키지들은 모두 npm 레지스트리에서 삭제되거나 제거된 상태임

이 글에 대한 공공지능 분석

왜 중요한가?

이번 공격은 단순한 이름 오타를 이용한 기존 타이포스쿼팅을 넘어, 실제 패키지의 최신 버전과 메타데이터(저자, 리포지토리 URL, README)를 완벽하게 복제했다는 점에서 매우 위험합니다. 이는 개발자가 버전 번호나 패키지 정보를 육안으로 확인하는 기존의 검증 방식을 무력화합니다.

어떤 배경과 맥락이 있나?

공격자는 Wayback Machine(web.archive.org)의 프록시 경로를 활용하여, 악성 스크립트가 실행될 때 트래픽이 신뢰할 수 있는 도메인에서 발생하는 것처럼 위장했습니다. 또한, npm의 postinstall 훅을 이용해 별도의 import 과정 없이 패키지 설치만으로도 악성 코드가 실행될 수 있는 구조를 설계했습니다.

업계에 어떤 영향을 주나?

패키지 매니저(npm)를 사용하는 모든 현대적 소프트웨어 개발 환경은 공급망 공격의 직접적인 타겟이 될 수 있습니다. 특히 의존성 혼란(dependency confusion)과 타이포스쿼팅이 결합된 형태의 공격은 자동화된 빌드 파이프라인을 통해 기업 내부망까지 침투할 수 있는 경로를 제공합니다.

한국 시장에 어떤 시사점이 있나?

빠른 제품 출시를 위해 오픈소스 라이브러리 도입이 빈번한 한국 스타트업들은 의존성 관리 프로세스를 재점검해야 합니다. 단순히 패키지를 추가하는 것에 그치지 않고, 신규 패키지의 이력과 이름을 검증하는 자동화된 보안 감사(Audit) 도구를 CI/CD 파이프라인에 필수적으로 통합해야 합니다.

이 글에 대한 큐레이터 의견

이번 사건은 오픈소스 생태계의 '신뢰 모델'이 얼마나 취약할 수 있는지를 극명하게 보여줍니다. 공격자가 실제 패키지의 버전과 메타데이터를 실시간으로 동기화하여 복제했다는 점은, 이제 개발자가 패키지의 '겉모습'만 보고 안전성을 판단하는 시대는 끝났음을 의미합니다. 특히 Wayback Machine을 이용한 네트워크 필터 우회 기법은 보안 운영팀(SecOps)이 기존에 신뢰하던 화이트리스트 기반의 방어 체계가 무용지물이 될 수 있음을 경고합니다.

물론, 모든 신규 의존성 추가 시 엄격한 검증 과정을 거치는 것은 개발 속도(Velocity)를 저하시키고 개발자 경험(DX)을 해치는 트레이드오프를 발생시킵니다. 지나치게 까다로운 보안 정책은 개발팀이 보안을 우회하려는 '그림자 IT' 현상을 초래할 위험이 있습니다. 따라서 스타트업 창업자들은 보안과 속도 사이의 균형을 잡기 위해, 사람이 일일이 확인하는 대신 MagAudit와 같이 패키지의 생성 이력, 이름 유사도, 버전 일치 여부를 자동으로 체크하여 PR(Pull Request) 단계에서 경고를 띄워주는 자동화된 가드레일을 구축하는 데 투자해야 합니다.

원문 보기 →