Vercel이 뚫렸다. 직원들의 이름과 이메일 주소, 활동 타임스탬프가 밖으로 새어 나갔고, 해커들은 이미 그 데이터를 온라인에서 팔겠다고 나선 상태다. The Verge 보도를 보면 Vercel 측도 피해 사실을 공식 인정했다. 조용히 묻힐 사건이 아니다.
뭐가 얼마나 나갔나
이번 공격의 배후로 지목된 건 샤이니헌터스(ShinyHunters)다. GTA6 개발 영상을 통째로 유출시켜 락스타 게임즈를 발칵 뒤집었던 그 그룹. 마이크로소프트, 포드도 이들한테 당한 이력이 있다.
- 해커들이 확보했다고 주장하는 건 Vercel 직원들의 이름과 이메일 주소다.
- 활동 타임스탬프도 포함돼 있다. 언제 누가 무엇을 했는지 흔적이 통째로 넘어간 셈이다.
- Vercel은 현재 피해 범위를 파악하면서 추가 차단에 들어간 상태다.
직원 이메일이 유출되면 뭐가 문제냐고? 피싱 공격의 시작점이 된다. 이름과 이메일 조합만 있어도 꽤 정교한 스피어 피싱이 가능하고, 내부 시스템 접근 시도로 이어지는 게 샤이니헌터스의 전형적인 수순이다. 데이터 자체보다 그걸 레버리지 삼아 더 깊이 파고드는 방식. 솔직히 이 부분이 더 걱정된다.
왜 개발 플랫폼이 더 위험한가
샤이니헌터스는 단순히 데이터를 빼가는 데서 멈추지 않는다. 기업의 약점을 공개하고, 신뢰도를 갉아먹는 방향으로 움직인다. 랜섬보다는 평판 타격 쪽에 더 무게를 두는 그룹이다.
- Vercel은 단순한 SaaS가 아니다. 수많은 개발자가 프로젝트를 올려두고 매일 코드를 밀어 넣는 인프라다. 여기서 보안이 흔들리면 개별 프로젝트의 안정성에도 직결된다.
- API 키, 환경 변수, 소스 코드—Vercel 하나에 붙어 있는 민감한 정보가 한두 개가 아니다. 이번에 유출된 건 직원 정보지만, 다음 단계로 내부 시스템 접근을 노릴 경우 파장이 어디까지 갈지 예측하기 어렵다.
- 클라우드 플랫폼의 편의성이 커질수록 거기에 쌓이는 데이터도 늘어난다. 배포 한 번에 GitHub 연동, 환경 변수 관리, 도메인 설정까지 다 해주는 게 Vercel의 강점인데, 그 편의성의 반대편에는 한 곳이 뚫리면 전부 위험해지는 구조가 있다. 이게 딜레마다.
개발 생태계를 노린 공격이 일반적인 기업 데이터 유출과 다른 이유가 여기에 있다. 피해가 한 기업에서 끝나지 않는다. 그 플랫폼 위에서 돌아가는 수천 개의 서비스와 프로젝트가 잠재적 위험에 노출된다.
지금 당장 해야 할 것들
Vercel 쓰고 있다면 체크해야 할 것들이 있다. 나중에 해도 되는 게 아니다.
- 2단계 인증(2FA) 활성화: 아직 안 켜놨으면 오늘 안으로. Vercel 계정 설정에서 30초면 된다. 이게 기본 중의 기본이다.
- API 키·접근 토큰 재발급: 유출 여부와 상관없이 일단 교체하는 쪽이 낫다. 외부 서비스와 연결된 토큰들을 중심으로.
- 연동 서비스 권한 점검: GitHub, GitLab 등 Vercel에 붙어 있는 서드파티 앱의 접근 권한을 다시 확인하고, 쓰지 않는 연동은 끊어라.
- 비밀번호 교체: 다른 서비스와 같은 비밀번호를 쓰고 있다면 즉시 바꿔야 한다. 크리덴셜 스터핑 공격에 그대로 노출되는 구조다.
제로 트러스트(Zero Trust)—어떤 플랫폼도 무조건 믿지 않는다는 원칙—를 개발 프로세스에 녹여야 할 시점이다. 귀찮아 보이는 이 절차들이 실제 공격을 막는다. 해봤으면 안다.
국내 개발자들한테도 남 얘기가 아니다
국내에서 Vercel 쓰는 팀이 적지 않다. Next.js 기반 프로젝트라면 배포할 때 Vercel이 가장 먼저 손이 가는 선택지다. 빠르게 프로토타입을 올려야 하는 스타트업이나 개인 개발자들 사이에서 활용도가 높다.
- 이번 사건은 클라우드 플랫폼 선택 기준을 다시 생각하게 만든다. 기능이나 속도만 볼 게 아니라, 해당 업체가 보안 사고를 어떻게 처리해왔는지까지 따져봐야 한다. 사고 자체보다 대응 방식이 신뢰도를 결정한다.
- 외부 플랫폼 의존도가 높은 팀일수록 그 플랫폼의 보안 사고가 자사 서비스에 직접 연결된다. 보안 감사와 개발자 보안 교육을 한 번이라도 제대로 해둔 팀과 그렇지 않은 팀의 차이가 이런 순간에 갈린다.
- 결국 기술 선택의 문제만이 아니다. 개발 문화 전반에서 보안을 어떻게 다루느냐의 문제다. 편한 걸 쓰되, 그 편의성이 어떤 위험과 함께 오는지 계속 인식하고 있어야 한다. 이번 사건이 그 인식을 끌어올리는 계기가 됐으면 한다.
출처: The Verge
글로벌뉴스 데스크
Home-In-One 글로벌뉴스 데스크는 전 세계 IT·기술 뉴스를 실시간으로 모니터링하여 한국 독자에게 가장 중요한 소식을 전합니다. 실리콘밸리, 유럽, 아시아의 최신 기술 동향을 한국 시장 관점에서 분석합니다.