[보안뉴스 읽기] 파이선 코드 공유 플랫폼인 PyPI에서 4천여 개 가짜 패키지 발견돼

 

파이선 코드 공유 플랫폼인 PyPI에서 4천여 개 가짜 패키지 발견돼

 

기사의 주요 내용

파이선 개발자들이 많이 사용하는 PyPI에 4천여 개의 가짜 모듈을 올려놓고 모듈 다운로드에 위험성을 경고했습니다.

예를 들어 beautsoup4라는 패키지가 있는데 원래 패키지의 이름은 beautisoup4로 i라는 글자 하나의 차이가 있으며, 쉽게 눈에 띄지 않는다. 

이를 이용해 프로젝트 내부에 코드를 

주요 용어

- PYPI(Python Package Index)

 

파이선 개발 프로젝트를 돕기 위한 30만여 개의 오픈소스 모듈 및 패키지들이 공유되고 있다.

파이선을 사용해본 사람이라면 누구나 PYPI를 한 번쯤 사용해봤을 정도로 널리 알려진 커뮤니티.

 

- 솔라윈즈(SolarWinds) 사태

 

2020년 말에에 발생한 대규모 공급망 공격.

러시아 정부가 조정하는 것으로 보이는 공격 단체가 솔라윈즈라는 IT 업체의 솔루션을 오염시켜 사용자 기업들과 조직들

에 침투한 것으로, 미국 역사상 최악의 사이버 공격 사건으로 불린다.

생각해볼 점

보안은 시스템도 중요하지만 사람의 실수를 줄여야 한다는 것을 다시 한번 느낄수 있었다.

PYPI에서 코드 받을때는 확실히 확인을 하고 사용하도록 하자.