Supply Chain Attack이란?
최종 앱·서비스를 직접 공격하는 대신 개발·빌드·배포 경로의 어느 한 지점을 오염시켜 해당 결과물을 쓰는 모든 사용자에게 피해를 전파한다.
대표 사례
- SolarWinds (2020) — 빌드 서버 침해
- event-stream (2018) — npm 메인테이너 인수 후 악성 코드
- xz-utils (2024) — OSS 메인테이너 장기 침투, 백도어 삽입
- npm 2026-04 시도 — 메인테이너 토큰 탈취
방어
- SBOM + 취약점 스캐너 (Snyk, Socket)
- 서명 검증 (Sigstore, provenance)
- 기본
npm ci --ignore-scripts - 의존성 동결 + 잠금 파일 리뷰
- 메인테이너 2FA 하드웨어 키