GitHub Organization에서 관리되지 않는 휴면 계정이나 퇴사자 계정은 공격자가 침입해 소스코드를 탈취하거나 공급망 공격을 수행하기 좋은 진입점이 된다. 특히 탈취된 OAuth 토큰이나 개인 액세스 토큰(PAT)으로 권한이 유지되면, 관리자가 모르는 사이 리포지터리에 지속적으로 접근해 악성 코드를 삽입하는 심각한 보안 사고로 이어진다.
GitHub 휴면 계정 보안 위협의 실체와 공격 메커니즘
기업용 GitHub Organization에서 퇴사자나 휴면 계정을 즉시 제거하지 않고 방치하는 것은 단순한 관리 소홀을 넘어 심각한 보안 취약점을 노출하는 일이다. 공격자는 보안 패치가 누락된 환경이나 개발자의 부주의를 틈타 계정 권한을 획득하며, 진입에 성공하면 해당 계정이 가진 기존 권한을 그대로 활용해 내부망으로 침투한다. 최신 공격 동향을 보면 GitHub 대상 공격 시도가 계속 늘고 있으며, 이는 단순한 비밀번호 탈취를 넘어 정교한 인증 우회 방식으로 진화하는 추세다.
가장 위험한 시나리오는 OAuth 피싱 공격이다. 공격자는 가짜 보안 경고를 만들어 개발자가 특정 애플리케이션에 권한을 부여하도록 유도한다. 사용자가 OAuth 인증을 승인하면 공격자는 해당 계정의 액세스 토큰을 손에 넣는다. 이 계정이 이미 퇴사했거나 활동이 없는 휴면 계정이라면 보안 담당자가 비정상적인 활동을 감지하기 매우 어렵다. 공격자는 확보한 토큰으로 코드 리포지터리에 지속적으로 접근하며, 기업의 핵심 자산인 소스코드를 외부로 유출하거나 백도어를 심는다.
2026년 최신 보안 조사 결과에 따르면 침해된 개발자 환경과 악성 VS Code 확장 프로그램이 연계된 비인가 리포지터리 접근 사례가 보고되고 있다. 개발자가 사용하는 IDE 확장 프로그램에 악성 코드가 포함되어 있으면 해당 환경에 저장된 GitHub 자격증명이나 API 키가 유출될 수 있다. 휴면 계정은 유출 사고가 발생해도 모니터링 대상에서 제외되는 경우가 많아, 공격자가 장기간 은밀하게 활동할 수 있는 ‘보안 블라인드 스팟’이 된다.
퇴사자 계정을 통한 공급망 공격과 자격증명 악용 경로
퇴사자 계정을 그대로 두었을 때 발생하는 가장 치명적인 위협은 공급망 보안의 붕괴다. 현대 소프트웨어 개발 프로세스는 수많은 오픈소스와 내부 라이브러리가 얽혀 있으며, GitHub는 이 공급망의 핵심 허브 역할을 한다. 공격자가 퇴사자 계정으로 리포지터리 쓰기 권한을 얻으면 정식 배포 프로세스에 악성 코드를 삽입하는 ‘공급망 공격’이 가능해진다.
구체적인 공격 경로는 다음과 같다. 첫째, 노출된 GitHub API 키나 개인 액세스 토큰(PAT)을 수집한다. 둘째, 탈취한 자격증명으로 조직 내 휴면 계정에 로그인하거나 API 요청을 보낸다. 셋째, 해당 계정이 과거에 부여받았던 관리자 권한이나 특정 리포지터리의 쓰기 권한으로 소스코드를 수정한다. 넷째, 수정된 코드가 CI/CD 파이프라인을 통해 실제 프로덕션 환경에 배포되게 하여 기업 전체 시스템을 장악한다.
특히 OAuth 토큰은 만료 기간이 길거나 설정에 따라 무기한 유지될 수 있어 더 위험하다. 많은 기업이 계정 삭제에는 집중하지만, 이미 발행된 OAuth 토큰이나 PAT를 회수하는 일에는 소홀하다. 계정 자체를 삭제했더라도 발행된 토큰이 살아있다면 공격자가 여전히 API로 리포지터리에 접근할 수 있다는 뜻이다. 자격증명 보안은 단순한 계정 삭제를 넘어 토큰의 생명주기 관리까지 포함해야 한다.
GitHub Organization 보안 설정을 위한 계정 관리 전략
휴면 계정으로 인한 보안 사고를 막으려면 체계적인 권한 관리와 감시 체계가 필요하다. 수백 명의 계정을 수동으로 점검하는 방식은 효율이 떨어지므로, 기술적인 감지 시나리오와 정책적 강제성을 결합해야 한다.
우선 계정 활동 상태를 기반으로 휴면 계정을 식별하는 정책을 세워야 한다. 보통 30일에서 360일 사이의 비활동 기간을 설정하며, 30일 단위의 임계치를 활용해 주기적으로 권한을 검토하는 것이 좋다. 특정 기간 활동이 없는 계정이 발견되면 자동으로 알림을 보내거나 임시적으로 권한을 회수하는 프로세스를 도입한다.
실시간 및 배치 감지 시나리오를 운용해 이상 징후를 포착하는 것도 중요하다. 조직의 Owner 권한이 추가·삭제되거나, 갑작스럽게 대규모 권한 부여 및 회수가 발생하는 로그를 집중 모니터링해야 한다. 비정상적인 API 호출 패턴이나 평소와 다른 지역에서의 리포지터리 접근 시도는 휴면 계정이 탈취되어 공격에 이용되고 있다는 강력한 신호다.
적절한 계정 관리 체계를 구축하기 위한 핵심 요소는 다음과 같다.
- 조직 내 Owner 및 관리자 권한 체계의 세분화와 주기적 검토 수행
- 퇴사 및 부서 이동 직원 계정의 즉시 제거 및 모든 부여 권한의 즉각 회수
- Personal Access Token(PAT) 및 OAuth 토큰의 유효 기간 설정 및 만료 후 자동 회수 점검
- 신규 입사자 및 기존 개발자를 대상으로 한 자격증명 보안 교육 강화 (노출 방지 및 최소 권한 원칙 준수)
- 조직 계정 수명주기 관리 정책(온보딩 및 오프보딩 절차)의 공식 문서화
아래는 계정 관리 상태에 따른 보안 위험도와 권장 조치 사항을 정리한 표이다.
| 계정 상태 | 주요 보안 위협 | 위험 수준 | 필수 조치 사항 |
|---|---|---|---|
| 활성 계정 | API 키 유출 및 OAuth 피싱 | 보통 | MFA 강제 적용 및 토큰 주기적 변경 |
| 휴면 계정 | 탈취된 토큰을 통한 은밀한 접근 | 높음 | 비활동 기간 기반 식별 및 권한 회수 |
| 퇴사자 계정 | 공급망 공격 및 내부 데이터 유출 | 심각 | 즉시 조직 제거 및 모든 PAT/OAuth 폐기 |
DevSecOps 관점의 대응 방안
GitHub 휴면 계정 보안 위협은 단순한 관리 문제를 넘어 기업의 핵심 자산인 소스코드와 직결되는 중대한 리스크다. 2026년 최신 공격 트렌드에서 보듯, 공격자들은 OAuth 피싱과 악성 IDE 확장 프로그램으로 자격증명을 탈취하고, 이를 휴면 계정과 결합해 장기간 지속적 위협(APT)을 가하고 있다.
이를 해결하려면 단순한 계정 삭제에 그치지 않고, OAuth 토큰의 수명주기 관리, 비활동 기간 기반 자동 탐지 시나리오 운용, 개발자 대상의 지속적인 보안 교육을 병행해야 한다. 특히 최소 권한 원칙(Principle of Least Privilege)을 적용해 불필요한 Owner 권한 부여를 줄이고, 모든 접근 로그를 상세히 기록해 이상 징후를 즉각 감지하는 환경을 구축하는 것이 필수적이다.
지금 바로 조직 내 사용자 리스트를 점검하고, 최근 90일 이상 활동이 없는 계정이나 퇴사자의 잔존 권한이 있는지 확인하자. 체계적인 오프보딩 프로세스 구축만이 가장 확실한 보안 대책이다.