axios 공급망 공격 확산…npm 패키지 ‘plain-crypto-js’ 주입 의혹과 개발자 긴급 점검 포인트입니다

라이브이슈KR는 최근 자바스크립트 생태계에서 핵심 라이브러리로 꼽히는 axios를 둘러싼 공급망 공격 정황이 보고되면서, 개발·보안 업계의 경계가 높아지고 있다고 전합니다.

※ 본문은 공개된 보안 분석 및 보도 자료를 기반으로 정리한 정보 기사입니다.

이번 이슈는 단순히 특정 라이브러리의 버그가 아니라, 의존성(Dependency) 신뢰 체계 자체를 겨냥한 npm 공급망 공격이라는 점에서 파장이 크다고 평가됩니다.

특히 설치 과정(postinstall)을 악용해 원격 접근 트로이목마(RAT)가 내려올 수 있다는 분석이 나오면서, 개발 환경 전반의 점검 필요성이 커지고 있습니다.

무슨 일이 있었나입니다: axios 패키지에 ‘악성 의존성’이 섞였다는 정황입니다

공개된 분석과 보도에 따르면, npm에 게시된 axios의 일부 버전에서 기존에 없던 plain-crypto-js@4.2.1 의존성이 추가로 설치되는 정황이 지적됐습니다.

외부 보안 커뮤니티에서는 이를 전형적인 설치형 악성코드 주입 패턴으로 보고 있으며, “최신 버전 설치가 잠재적으로 위험해질 수 있다”는 경고가 확산됐습니다.

핵심은 ‘axios를 쓴다’가 아니라, 자동 설치되는 의존성 체인이 공격 표면이 될 수 있다는 점입니다.

보안 분석 글에서는 공격자가 유지관리자 계정 자격 증명을 확보한 뒤, 일반적인 자동화 검증 흐름을 우회해 악성 패키지를 수동으로 업로드한 정황이 언급됐습니다.

또한 악성 버전이 의존성으로 위장한 패키지를 추가하고, 설치 스크립트로 이어지는 구조가 보고되면서 전형적인 오픈소스 공급망 공격으로 분류되고 있습니다.

axios는 Node.js와 프론트엔드 개발에서 HTTP 요청을 처리하는 대표 라이브러리로 널리 쓰이고 있습니다.

보안 경고 글에서는 주간 다운로드가 매우 큰 패키지로 언급되며, CI/CD 환경에서 단 한 번의 npm install이 개발·빌드 서버로 확산될 수 있다는 점이 리스크로 지목됐습니다.

여러 분석에서는 악성 의존성 패키지가 postinstall 스크립트를 통해 동작하며, macOS·Windows·Linux를 동시에 겨냥하는 크로스 플랫폼 형태라는 점을 강조했습니다.

즉 개발자 개인 PC뿐 아니라, 빌드 에이전트·배포 서버·테스트 컨테이너까지 연쇄적으로 영향을 받을 수 있는 구조입니다.

아래 항목은 공개 보도에서 공통적으로 제시되는 방향을 바탕으로, 현장에서 즉시 적용할 수 있도록 정리한 실무 체크리스트입니다.

의존성 잠금 파일(package-lock.json / yarn.lock / pnpm-lock.yaml)에서 plain-crypto-js가 추가됐는지 확인하는 것이 우선입니다.
최근 설치/업데이트 이력에서 axios 버전이 바뀐 시점을 확인하는 것이 필요합니다.
CI 로그에서 설치 단계(postinstall) 실행 여부와 비정상 네트워크 접근이 있었는지 점검하는 것이 권고됩니다.
빌드 아티팩트에 예상치 못한 파일이 포함됐는지 비교하는 것이 중요합니다.
개발자 PC에서 npm 캐시 및 글로벌 패키지 설치 상태를 재점검하는 것이 필요합니다.
즉시 롤백 또는 안전하다고 확인된 버전으로 고정(pin)하는 의사결정을 검토하는 것이 중요합니다.

참고: 현재까지 공개된 자료만으로는 모든 환경에서의 감염 여부를 단정하기 어렵습니다. 다만 락파일과 설치 스크립트 흔적은 비교적 빠르게 확인 가능한 1차 지표로 언급되고 있습니다.

이번 axios 공급망 공격 논의는 오픈소스 생태계에서 반복돼온 신뢰 전이 문제를 다시 드러냈다는 평가가 나옵니다.

특히 기업 환경에서는 개발 단계에서의 감염이 운영 환경까지 이어질 수 있어, SCA(Software Composition Analysis)나 아티팩트 서명, 빌드 격리 같은 체계적 대응이 요구되는 흐름입니다.

커뮤니티에서는 “자동 업데이트 관행 자체를 재검토해야 한다”는 목소리가 커지고 있습니다.

오픈소스는 빠른 업데이트가 장점이지만, 이번처럼 패키지 게시 권한이 공격자에게 넘어가는 순간, 최신 배포물이 오히려 위험 요인이 될 수 있다는 점이 재확인됐습니다.

현재 공개된 정보 흐름을 종합하면, 이번 사건의 핵심은 axios 공급망 공격 정황과 그 과정에서 등장한 plain-crypto-js 같은 수상한 의존성 주입 이슈입니다.

개발팀과 보안팀은 “우리 서비스가 axios를 쓰는가”를 넘어, 어떤 버전을 언제 어떤 환경에서 설치했는가를 기준으로 흔적을 찾는 것이 우선이라는 지적이 나옵니다.