## 액시오스(Axios) 해킹: 소스코드 한 줄 안 건드리고 수백만 기기에 악성코드 심는 공급망 공격
자바스크립트 생태계의 핵심 HTTP 라이브러리인 액시오스(Axios)가 해킹을 당했다. 이 공격은 소스코드를 직접 수정하지 않고도 소프트웨어 공급망을 통해 수백만 대의 기기에 악성코드를 유포할 수 있는 새로운 위협 방식을 보여줬다. 주간 다운로드 수가 1억 건을 넘는 이 핵심 패키지가 표적이 된 것은, AI 코딩 도구의 확산으로 인해 개발자들이 직접 작성하는 코드가 줄어들면서 외부 패키지에 대한 의존성이 더욱 치명적으로 변할 수 있음을 시사한다.

공격자는 세 가지 단계로 공격을 수행했다. 먼저 액시오스의 메인테이너(유지 관리자) 계정을 탈취했다. 그 후, 패키지의 의존성 목록에 새로운 외부 패키지 하나를 추가했다. 이는 액시오스 패키지 자체의 코드를 변경하지 않고, 패키지 설치 시 자동으로 함께 다운로드되는 외부 코드를 통해 악성 페이로드를 심는 방식이다. 이로 인해 액시오스를 사용하는 모든 애플리케이션과 서비스가 업데이트를 설치할 때, 공격자가 삽입한 악성 의존성 패키지도 함께 설치될 위험에 빠졌다.

이 사건은 소프트웨어 공급망의 취약점이 얼마나 빠르게 악용될 수 있는지를 보여주는 경고다. 특히 AI 코딩 도구가 생성하는 코드도 이러한 외부 패키지에 크게 의존하기 때문에, 공격 표면이 더 넓어지고 있다. 한 번의 계정 탈취로 전 세계 수많은 서비스와 사용자에게 영향을 미칠 수 있는 이 공격 방식은, 오픈소스 생태계의 보안 모델과 패키지 관리자 시스템에 대한 근본적인 재검토를 요구하고 있다.
---
- **Source**: Digital Today
- **Sector**: The Lab
- **Tags**: 해킹, 소프트웨어공급망공격, 오픈소스보안, 자바스크립트, AI코딩
- **Credibility**: unverified
- **Published**: 2026-04-03 08:59:21
- **ID**: 48730
- **URL**: https://whisperx.ai/ko/intel/48730