CrowdSec 소스 코드 유출 — 백도어가 심어진 Tanstack 컴포넌트가 유력한 침입 경로

본문

보안 엔진과 위협 인텔리전스를 제공하는 CrowdSec이 소스 코드 유출 사실을 공식 인정했습니다. 유출은 2026년 5월에 발생했고, 9월 16일 외부 신고를 받은 뒤 팀이 검증을 거쳐 확인했다고 밝혔습니다. 공급망 공격으로 보안 회사의 비공개 코드가 새어 나간 사례라는 점에서 개발자들이 주목할 만한 사건입니다.

무엇이 유출됐나

CrowdSec의 코드베이스는 두 부분으로 나뉩니다. Security Engine을 담은 FOSS 저장소는 원래 공개라 유출 범위에서 제외되고, 문제가 된 비공개 부분에는 SaaS 콘솔, AWS 클라우드 루틴, 각종 커넥터와 자동화 코드가 들어 있었습니다. 언론 헤드라인의 '300개 저장소 유출'이라는 숫자는 130개 이상의 공개 저장소까지 포함하면 정확하다고 회사는 인정했지만, 그 숫자는 실제 유출 규모보다 코드의 세분화 정도를 반영한 것이라고 설명했습니다. '기타 파일'이나 '내부 개발 자료'가 포함됐다는 주장은 부인했으며, API 관련 정보로 유출된 것은 CI/CD 컴포넌트 자체가 사용하는 토큰뿐이라고 덧붙였습니다.

고객 영향과 코드 가치에 대한 판단

회사는 고객 데이터, 로그인·비밀번호, 이름, 조직 정보 등 어떤 것도 유출되지 않았다고 강조했습니다. CrowdSec은 애초에 PII나 클라이언트 로그를 저장하지 않으므로 영향은 CrowdSec 자체에 국한된다고 밝혔습니다. 팀은 측면 이동(lateral movement)을 가능하게 할 토큰, 자격 증명, 민감 정보를 샅샅이 조사했지만 현재까지 발견한 것은 없다고 전했습니다. 유출된 코드 자체는 가치가 있지만, 회사의 경쟁력은 네트워크 효과와 규모에서 나오므로 코드만으로는 복제할 수 없다는 입장입니다. SaaS 소스 코드는 정기적으로 감사해 와서 유출이 즉각적인 위협이 되지는 않으며, 유출 시점 이후 4개월 동안 코드가 상당히 발전했기 때문에 이상 징후만 모니터링하겠다고 했습니다. 또한 이 코드는 CrowdSec의 데이터와 도구와만 상호작용하므로 다른 맥락에서 활용하기도 어렵다고 분석했습니다.

유력한 침입 경로: Tanstack 컴포넌트

조사가 진행 중이지만 회사는 Tanstack 컴포넌트 침해가 유력한 유출 경로라고 밝혔습니다. 이는 Mistral AI 사례와 같은 패턴으로, 5월에 조직 내에서 사용된 이 컴포넌트가 백도어로 오염돼 비공개 코드베이스 읽기 권한을 가진 API 키를 탈취한 것으로 보입니다. 유출은 2026년 5월의 짧은 시간 창에서만 악용 가능했으며, 회사는 필요한 모든 토큰과 자격 증명을 즉시 교체했다고 밝혔습니다. 신고를 전달한 Fuites Infos의 신속하고 전문적인 대응에 감사를 표했습니다.

Hacker News 반응

• @sandeepkd — 웃긴 건, 이 회사 웹사이트의 태그라인을 보면 누가 당신을 공격하는지 안다고 주장하면서 정작 자기들을 공격한 사람은 놓쳤다는 점입니다. 결국 이들은 보안 회사라기보다 악성 IP 애그리게이터에 가깝습니다. 이상적으로 이런 애그리게이터 문제는 신뢰할 수 있는 비영리 단체가 맡는 게 가장 적합하며, 데이터 제공에는 어느 정도의 신뢰성이 필요하고 데이터 조회에는 운영을 유지할 정도의 명목상 요금을 받으면 됩니다.
• @strictnein — 당신이 생각하는 '보안 회사'의 정의가 정확히 뭡니까? 위협 인텔리전스 회사는 보통 그 범주에 들어가는데, 당신의 기준이 궁금합니다. 그리고 이런 서비스를 '비영리'로 세워서 쥐꼬리만 한 비용으로 운영할 수 있다는 생각은 좀 순진합니다. 명목상의 요금으로 엔지니어와 인프라 비용을 어떻게 감당하죠? 아니면 자원봉사로, 사람들이 당신을 위해 공짜로 해주길 바라는 건가요?
• @sandeepkd — 제 관점에서는 초기 단계부터 보안 관행에 대한 이해가 매출에 직접적인 영향을 미치는 회사라면 보안 회사로 볼 수 있습니다. 제가 본 바로 인터넷의 상당 부분은 열정을 가지고 자원봉사를 한 사람들의 어깨 위에 서 있습니다. 일단 구축되면 IP 주소 확인 API에 대한 명목 요금만으로도 서버 비용은 훨씬 쉽게 커버됩니다. Let's Encrypt가 좋은 예인데, 블루, 그린 등 온갖 체크마크를 발급하던 상용 CA들의 큰돈을 빼앗아 갔죠.
• @itintheory — 기본 소프트웨어는 오픈소스이고, 도구를 실행하면서 탐지 결과를 다시 기여하면 목록도 무료입니다. 돈을 내야 하는 큐레이션된 목록도 일부 있지만, 제가 살펴본 다른 유사 상용 제품들보다는 상당히 저렴한 편입니다.
• @strictnein — 그러니까 결국 당신의 답은 '예, 다른 사람들이 다른 일을 공짜로 해줬으니 나도 이 일을 공짜로 해달라'는 거군요. 그리고 공짜 작업이 끝나면 그 혜택에 기꺼이 명목 요금을 내겠다고요? '초기부터 보안 관행 이해가 매출에 직접 영향을 미치는 회사'라는 기준은 말 그대로 지구상의 거의 모든 회사에 해당할 수 있습니다. 그런데 보안 이슈 한 번 있었다고 CrowdSec만 아니라고요? 모든 보안 회사를 포함해 지구상의 모든 회사가 그런 일을 겪었습니다.

원문: CrowdSec Blog / 번역·요약: Trawling