액센추어, 소스코드 35GB 탈취 주장에 보안 사고 인정

핵심 요약

'888' 핸들의 위협행위자가 사이버범죄 포럼에 액센추어 소스코드 35GB를 탈취했다고 주장하며 판매를 시도했다. 탈취 주장 데이터에는 소스코드뿐 아니라 RSA 키·SSH 키·Azure 개인 액세스 토큰(PAT)·스토리지 키·설정 파일이 포함됐다. 액센추어는 "격리된 사안을 인지하고 원인을 조치했다"며 보안 사고를 인정했다.

1. 유출 주장 내용

• 소스코드, RSA/SSH 키
• Azure PAT(개인 액세스 토큰), Azure Storage 액세스 키
• 설정 파일 등 민감 자격증명
• accenture.com 연계 비공개 Azure DevOps 저장소 스크린샷을 증빙으로 게시

2. 회사 대응

3. 의미

소스코드와 함께 키·토큰이 함께 새면 2차 침해 위험이 크다. 유출된 Azure 자격증명으로 클라우드 자원에 접근할 수 있기 때문이다. 이 사고는 "코드 저장소에 비밀키를 함께 두지 말라"는 원칙과, 유출 시 즉시 키 폐기(rotate)의 중요성을 다시 보여준다.

자주 묻는 질문

소스코드가 유출되면 뭐가 문제인가요?

코드 자체의 지식재산 유출도 문제지만, 더 위험한 건 코드에 섞여 있던 키·토큰입니다. 이걸로 공격자가 클라우드·내부 시스템에 직접 접근할 수 있어, 유출 즉시 모든 관련 자격증명을 폐기·교체해야 합니다.

탈취 주장을 어디까지 믿어야 하나요?

판매글의 규모(35GB)나 내용은 과장될 수 있으나, 이번엔 비공개 저장소 스크린샷이 증빙으로 제시됐고 회사도 사고를 인정했습니다. 정확한 범위는 조사가 끝나야 확인되지만, 관련 조직은 최악을 가정해 대응하는 게 안전합니다.