[깃허브(GitHub)] 개인 액세스 토큰 500여개 대량 유출, 韓 경찰 최초 포착_2026년 07월

세계 최대 오픈소스 플랫폼 깃허브(GitHub)에서 접속 인증 수단인 개인 액세스 토큰(PAT) 500여개가 대량 유출된 사실을 한국 경찰이 세계 최초로 포착했다. 국내 기업 약 30여곳을 포함해 전 세계 54개국 370여개 계정 소유주가 확인됐으며, 이번 유출은 회원 약 1,953만명 개인정보가 유출된 티빙 사고의 실제 원인(경로)으로 추정된다.

 

□  개요 

   2026년 07월 14일 경찰청 국가수사본부는 깃허브 접속 인증 수단인 '개인 액세스 토큰(PAT)' 정보가 다량 유출된 사실을 최근 확인했다며, 추가 피해 발생을 막기 위한 긴급 보안 조치 및 권고 사항을 포함한 보안 권고문을 배포한다고 밝혔다.
    깃허브는 마이크로소프트(MS)가 운영하는 세계 최대 규모의 오픈소스 코드 저장·관리·공유 플랫폼으로, 여기에 접속하는 인증 수단인 개인 액세스 토큰이 대거 유출됨에 따라 해커가 이를 악용해 개인·기업의 주요 시스템에 침입, 개인정보나 기업 기밀 등 민감정보를 탈취할 가능성이 제기됐다. 공격자가 토큰을 확보하면 계정의 아이디·비밀번호를 몰라도 비공개 저장소 등 주요 시스템에 접속할 수 있다.
경찰은 별도의 해킹 사건을 수사하던 중 해커가 타인의 깃허브 토큰을 보유한 사실을 포착하고 수사에 착수했다. 현재까지 유출이 확인된 토큰은 500여개이며, 소유주 국적이 확인된 사례만 전 세계 54개국 370개 계정에 이르고 국적 미확인 계정도 200개가 넘는다. 이 중 국내 기업이 소유한 계정은 30여개로 파악됐다.
경찰은 소유주와 국적이 특정된 피해 계정을 인터폴(국제형사경찰기구)에 통지하고 있으며, 이는 한국 경찰이 깃허브 토큰 유출 사례를 자체 파악해 인터폴에 공식 공유한 세계 최초 사례다. 경찰은 깃허브 운영사인 마이크로소프트에도 관련 사실을 알려 추가 보안 조치를 요구했으며, 국내 기업과 개발자를 위한 보안 권고문도 배포했다.
특히 이번 유출은 회원 약 1,953만명의 개인정보가 유출돼 역대 최대 규모로 기록된 온라인동영상서비스(OTT) 티빙과 교육기업 데이원컴퍼니의 개인정보 유출 사고 경로로 추정된다. 티빙은 개인정보 침해사고 신고서에서 '깃허브 하드코딩 자격증명 제거·교체', '공격이 확인된 AWS 액세스 키 즉시 폐기' 등의 조치를 했다고 밝혀, 깃허브 인증 수단 유출을 사고 원인으로 지목한 것으로 풀이된다.

 

□  사고내용 요약  

    1. 관련기관/플랫폼 : 깃허브(GitHub, MS 운영) / 경찰청 국가수사본부
    2. 사고유형
        - 개발자 인증 토큰(PAT) 대량 유출 사고
        -  글로벌 오픈소스 플랫폼발 공급망(Supply Chain) 보안 사고
        -  하드코딩된 인증정보 노출에 따른 2차 개인정보 유출 사고(티빙 등)
    3. 유출규모 : 전 세계 500여개 계정(국적 확인 54개국 370개, 국내 30여개)
    4. 유출항목
        - 깃허브 개인 액세스 토큰(PAT, 접속 인증 수단)
        - (2차 피해 사례) 티빙: 회원 개인정보(약 1,953만명), AWS 액세스 키 등
        - (2차 피해 사례) 데이원컴퍼니: 개인정보 유출

    5. 특이사항
        - 한국 경찰이 세계 최초로 자체 포착해 인터폴에 공식 통지한 사례
        - 별도 해킹 사건 수사 도중 우연히 발견된 부수적 성과
        - 국내 최대 규모 개인정보 유출 사고인 티빙(약 1,953만명)의 원인 경로로 지목
        - 티빙과 제휴한 네이버·카카오 등 연동 고객까지 2차 피해 대상에 포함
        - 데이원컴퍼니 등 다른 기업에서도 실제 개인정보 유출 피해 확인
        - 개발자가 실수로 코드에 인증키를 하드코딩해 노출시키는 것이 근본 원인으로 지목
        - 국적 미확인 계정 200여개는 추가 피해자 특정 작업 진행 중

□  사고대응 타임라인  

    - 이전 시점
        . 경찰, 별도 해킹 사건 수사 중 해커가 제3자 깃허브 토큰을 보유한 정황 발견

    - 2026년 07월 09일
        . 경찰, 깃허브 토큰 대량 유출 사실 확인 및 깃허브 측 통지

    - 2026년 07월 09일 이후
        . 국내 30여개 기업에 개별 통보
        . 국적 확인된 해외 계정, 인터폴을 통해 각국 관계기관 통보

    - 2026년 07월 14일
        . 경찰청 국가수사본부, 공식 발표 및 보안 권고문 배포
        . 마이크로소프트(MS)에 추가 보안 조치 요구

    - 2026년 07월 15일
        . 언론 보도를 통해 사고 세부 내용 및 티빙·데이원컴퍼니 연관성 확인

    - 조사 진행 중
        . 국적 미확인 계정 200여개 추가 특정
        . 토큰 유출로 인한 추가 피해 사례 수사

□  대응내역  

    - 경찰청 국가수사본부, 유출 사실 확인 즉시 깃허브(MS) 측 통지
    - 국내 피해 기업 30여곳 개별 통보
    - 해외 피해 계정, 인터폴을 통해 각국 관계기관 공식 통보(세계 최초 사례)
    - 국내 기업·개발자 대상 보안 권고문 배포
    - (티빙) 깃허브 하드코딩 자격증명 제거·교체, 공격 확인된 AWS 액세스 키 즉시 폐기 등 자체 조치 시행
    - 경찰, 추가 피해 사례 여부 수사 진행 중

□ 재발방지대책(권고사항)   

    1. 기술적 조치
       - 소스코드 내 API 키·인증 토큰 등 하드코딩된 자격증명 전수 점검 및 제거
       - 노출 가능성이 있는 모든 깃허브 개인 액세스 토큰(PAT) 즉시 폐기·재발급
       - 토큰 권한 범위 최소화(Fine-grained PAT) 및 만료기한 설정
       - 시크릿 스캐닝(Secret Scanning) 도구를 통한 저장소 상시 점검
       - 연계된 AWS 등 클라우드 액세스 키 전수 재발급
       - 저장소 접근 로그 모니터링 및 이상행위 탐지 체계 구축

    2. 관리적 조치
       - 개발 조직 대상 시크릿 관리(Secret Management) 정책 수립 및 교육
       - 소스코드 커밋 전 자격증명 노출 여부 사전 검토 절차 의무화
       - 오픈소스·외부 저장소 이용 가이드라인 마련
       - 경찰 보안 권고문 수신 기업의 즉시 조치 여부 점검
       - 국제 공조(인터폴 등)를 통한 해외 피해 계정 신속 통보 체계 유지
       - 2차 피해(개인정보 유출) 확인 시 관계기관 신고 및 이용자 통지 신속화

□  관련기사(출처)  

• [단독] MS 오픈소스 플랫폼 '깃허브' 계정 500여개 대량 유출... 한국 경찰이 최초 포착 - 조선일보
• 경찰 "깃허브 계정 500여 개 접속 권한 유출"…긴급 보안조치 권고 - SBS
• 티빙 이어 개인정보 침해 또 발생하나?…경찰, 개발자 플랫폼 정보유출 수사 - 국민일보
• 개발자 플랫폼 '깃허브' 계정접속 권한 털렸다… 경찰 긴급보안 조치 권고 - 세계일보
• 경찰, 깃허브 계정 500여개 유출 확인…보안 조치 권고 - 전자신문

 

깃허브 PAT 유출 관련 긴급 보안조치 및 권고사항 안내(권고문).pdf

0.15MB

[붙임] 2026C0002_깃허브 PAT 유출 관련 긴급 보안조치 및 권고사항 안내(권고문).pdf

0.15MB

감사합니다.