어제는 TeamPCP라는 해커 그룹이 펼친 대규모 npm 공급망 공격이 발생했습니다.

공격 대상은 알리바바의 오픈소스 데이터 시각화 프로젝트인 antv로, 22분간 총 300개 이상의 악성 패키지가 업로드됐다고 합니다. 더 문제인건 직접 antv를 쓰지 않더라도 종속성을 갖는 패키지들을 통해 간접적으로 감염됐을 가능성이 다분하다는 점.

감염된 경우 npm 토큰을 도용해 메인테이너 역할을 하고 있는 다른 패키지들을 감염시키는 웜 형태의 공격이었다고 해요.

요즘 거의 하루를 안거르고 공급망 공격이 발생하고 있는데 무서울 따름.