보안 기업 트러플시큐리티가 깃허브(GitHub) 공개 저장소 2억2400만개를 전수 조사한 결과, 지금도 실제로 쓸 수 있는 인증 정보(비밀번호나 API 키 같은 로그인 값) 54만건 넘게 발견됐습니다. 이 가운데 일부는 무려 2009년에 만들어진 것으로, 16년 넘게 아무도 조치하지 않고 방치돼 있었습니다. 깃허브가 올리는 코드에 비밀 값이 섞여 있으면 막아주는 '푸시 보호' 기능을 도입했지만, 데이터베이스 접속 정보나 구글 API 키 같은 일부 종류는 애초에 이 기능으로 걸러지지 않아 여전히 새어 나가고 있습니다. 서비스별로도 차이가 커서, npm 토큰은 10만개 넘게 노출돼도 실제 작동하는 건 1개뿐이었지만 구글 클라우드 서비스 계정 정보는 절반 넘게 여전히 살아 있었습니다. 전문가들은 노출된 인증 정보를 즉시 교체하고, 저장소와 과거 커밋 이력까지 정리하며, 모든 비밀 값에 자동 만료 기간을 설정해야 한다고 조언합니다.
트러플시큐리티가 깃허브 공개 저장소를 대규모로 조사해 현재도 유효한 인증 정보 54만3699건을 찾아냈으며, 일부는 2009년부터 노출된 상태였다.
노출된 인증 정보가 오래, 그리고 대량으로 방치되면서 공격자가 이를 이용해 시스템이나 클라우드 계정에 무단 접근할 위험이 커진다.
개발자들이 코드에 비밀 값을 실수로 포함시켜 공개 저장소에 올리고, 깃허브의 '푸시 보호' 기능도 일부 유형(DB 연결 문자열, 구글 API 키 등)은 막지 못하며 이미 유출된 값을 자동으로 무효화하지도 않는다.
깃허브는 2022년부터 푸시 보호 기능을 단계적으로 확대해 2024년 기본 적용으로 전환했고, 적용 범위 안에서는 노출 비율이 53% 줄어드는 효과를 봤다.
자사 저장소와 커밋 이력에 노출된 인증 정보가 있는지 점검해 즉시 교체하고, 모든 비밀 값에 자동 만료 정책을 적용해야 한다.
본문
깃허브 공개 저장소에 노출된 인증 정보 가운데 54만건 넘게 7월까지 실제로 쓸 수 있는 상태였다. 한번 공개된 인증 정보는 중간값 기준 784일 동안 노출돼 있었다.
보안 기업 트러플시큐리티가 저장소 2억2400만개, 파일 580억개 넘게 훑은 결과다. 분석 대상은 대형언어모델 학습용으로 모은 데이터셋으로, 2025년 8월 7일 수집이 끝난 자료다. 연구진은 여기서 유효한 인증 정보 54만3699건을 찾았다. 트러플시큐리티가 8월 허깅페이스에서 찾은 유효 인증 정보 22만1303건의 두 배가 넘는 규모다. 포크(복제 저장소) 사본까지 합쳐 110만개 넘는 파일과 저장소에 되풀이해 나타났다.
작동하는 인증 정보의 10%가량은 6.3년이 넘었고, 가장 오래된 사례는 2009년까지 거슬러 올라갔다. 파일 100만개당 유효 인증 정보는 2015년 3.72건에서 2025년 11.62건으로 늘었다.
깃허브는 코드가 올라올 때 API 키나 접근 토큰 같은 비밀 값 패턴을 찾아 업로드를 막는 푸시 보호 기능을 2022년 4월 고급 보안(Advanced Security) 이용자에게 도입했다. 2023년 5월 공개 저장소로 넓혔고, 그로부터 1년 뒤 기본값으로 켰다.
그러나 2024년 2월 모든 이용자에게 적용된 뒤 노출된 인증 정보도 19만9843건으로 전체의 36.8%였다. 살아 있는 인증 정보의 51.8%는 데이터베이스 연결 문자열이나 구글 API 키처럼 기본 푸시 보호가 막지 않는 종류였다. 이 기능은 이미 새어 나간 인증 정보를 무효화하지도 못한다.
다만 적용 범위 안에선 효과가 있었다. 트러플시큐리티는 기본 적용 이후 보호 대상 범주의 노출 비율이 53% 떨어졌다고 밝혔다.
저장소에 올라간 npm 토큰 10만1886개 가운데 작동하는 토큰은 1개뿐이었다. 반면 구글 클라우드 서비스 계정 정보는 12만6963건 중 6만9041건이 살아 있었다. 서비스에 따라 폐기되는 정도가 크게 달랐다.
이번 조사로 노출 규모는 알 수 있지만 실제 도난·악용 비율까지는 알 수 없다. 노출된 인증 정보가 있다면 즉시 교체하고 저장소와 이력을 정리하며, 모든 비밀 값에 자동 만료를 걸어야 한다.
