그라파나, 깃허브 인증 토큰 유출로 소스코드 털렸다

고객 데이터 유출 정황은 없어... 해커 협박에도 몸값 지급 거부
공격 배후로 ‘코인베이스카르텔’ 지목

[보안뉴스 김형근 기자] 모니터링·시각화 플랫폼 기업 그라파나(Grafana)가 깃허브(GitHub) 환경 접근에 사용되는 인증 토큰이 탈취돼 자사 소스코드 일부가 외부로 유출되는 보안 사고를 겪었다고 밝혔다.

그라파나는 공식 엑스(X) 계정을 통해 유출 사고 사실을 즉시 공개했다. 조사 결과 고객 데이터나 개인정보에 대한 접근 흔적은 발견되지 않았다고 설명했다.

회사측에 따르면 보안팀은 비정상적 접근 행위를 탐지한 직후 포렌식 조사에 착수했으며, 유출 경로를 확인한 뒤 관련 인증 자격 증명을 즉시 폐기했다.

공격자는 탈취한 소스코드와 데이터베이스를 공개하겠다고 협박하며 금전을 요구한 것으로 전해졌다. 그러나 그라파나는 미국 연방수사국(FBI) 권고에 따라 공격자와 협상 및 금전 지급을 거부했다고 밝혔다.

FBI는 공식 웹사이트를 통해 랜섬웨어 및 데이터 유출 협박 공격에서 몸값을 지급하더라도 데이터 복구나 삭제를 보장할 수 없으며, 오히려 추가 범죄를 조장할 수 있다고 경고해 왔다.

그라파나는 정확한 침해 시점과 유출 규모는 공개하지 않았다. 다만 위협 인텔리전스 업체 핵매낙(Hackmanac) 등은 이번 공격 배후로 ‘코인베이스카르텔’(CoinbaseCartel)을 지목했다. 코인베이스카르텔은 지난해 9월 처음 등장한 데이터 탈취 중심 공격 조직으로, 샤이니헌터스(ShinyHunters)와 랩서스(LAPSUS$)의 파생 조직으로 간주된다.

이들은 시스템 파일을 암호화하는 전통적 랜섬웨어 방식 대신 중요 데이터 유출과 협박에 집중하는 방식으로 의료·기술·운송 등 세계 170개 이상의 기업을 공격했다.

이번 사건은 최근 미국 교육기술 기업 인스트럭처(Instructure)가 샤이니헌터스의 데이터 유출 협박 이후 금전 합의를 진행한 사례 직후 발생하면서, 데이터 탈취 기반 협박 공격이 더욱 대담해지고 있다는 우려도 커지고 있다.

[김형근 기자(editor@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다