악성 VS Code 확장 프로그램으로부터 API 키 보호하기

GitHub은 한 직원의 노트북에 설치된 악성 또는 침해된 VS Code 확장으로 약 3,800개 내부 저장소의 데이터가 유출됐다고 확인했다.

이번 사건은 서버 측 제로데이가 아니라 개발자 워크스테이션을 노린 공격으로, 로컬 개발 도구가 주요 공격 표면이 될 수 있음을 보여준다.

API 키와 기타 비밀정보는 하드코딩이나 커밋된 .env 파일처럼 프로젝트 파일에 두지 말아야 한다.

비밀정보는 분리 보관하고, 주기적으로 교체하며, 중앙에서 관리해 공급망 및 워크스테이션 위험을 줄여야 한다.