Supply Chain Attack란?공급망 공격

Supply Chain Attack이란?

최종 앱·서비스를 직접 공격하는 대신 개발·빌드·배포 경로의 어느 한 지점을 오염시켜 해당 결과물을 쓰는 모든 사용자에게 피해를 전파한다.

대표 사례

• SolarWinds (2020) — 빌드 서버 침해
• event-stream (2018) — npm 메인테이너 인수 후 악성 코드
• xz-utils (2024) — OSS 메인테이너 장기 침투, 백도어 삽입
• npm 2026-04 시도 — 메인테이너 토큰 탈취

방어

• SBOM + 취약점 스캐너 (Snyk, Socket)
• 서명 검증 (Sigstore, provenance)
• 기본 npm ci --ignore-scripts
• 의존성 동결 + 잠금 파일 리뷰
• 메인테이너 2FA 하드웨어 키