1억 다운로드 패키지도 뚫렸다! 국가 안보 위기로 번진 '공급망 보안'의 현주소

최근 주간 다운로드 수만 1억 건에 달하는 전 세계적인 인기 자바스크립트 라이브러리 '액시오스(Axios)'가 북한 해커 그룹에 의해 오염되는 충격적인 사건이 발생했습니다.

해커가 관리자 계정을 탈취해 공식 저장소에 악성코드를 배포하면서, 이를 사용하던 챗GPT의 개발사 '오픈AI(OpenAI)'마저 내부 워크플로우가 침해당해 긴급 보안 업데이트를 진행해야만 했습니다.

이 사건은 우리에게 매우 분명한 경고를 던집니다. "우리가 믿고 쓰는 검증된 오픈소스마저 안전지대가 아니며, 소프트웨어 공급망이 뚫리면 기업을 넘어 국가 안보까지 흔들릴 수 있다"는 사실입니다. 2026년 현재, 급변하는 글로벌 공급망 보안의 핵심 트렌드와 기업의 대응 전략을 짚어봅니다.

1. SW 공급망 위협, 기업 문제를 넘어 '국가 안보' 직격탄

오늘날 대부분의 소프트웨어는 밑바닥부터 새로 짜는 것이 아니라, 누군가 만들어둔 오픈소스라는 '레고 블록'을 조립해 완성됩니다. 실제로 현재 전 세계 코드 베이스의 90% 이상이 오픈소스를 포함하고 있습니다.

문제는 이 수많은 블록 중 단 하나에만 악성코드가 숨어있어도 전체 시스템이 무너진다는 것입니다.
최근 북한 등 국가의 지원을 받는 해킹 그룹들은 이러한 공급망의 '약한 고리'를 집중 공격하여 암호화폐를 탈취하고 무기 개발 자금으로 활용하고 있습니다. 미국 정부가 AI 기업의 공급망 위협을 국가 안보 차원에서 강하게 통제하려는 움직임을 보이는 것도 바로 이 때문입니다.

 

2. 더 이상 선택이 아닌 필수, 글로벌 'SBOM' 의무화

소프트웨어 공급망이 안보의 핵심으로 떠오르면서, 미국과 유럽 등 주요 선진국들은 강력한 규제를 쏟아내고 있습니다. 그 중심에 있는 것이 바로 '소프트웨어 자재명세서(SBOM)'입니다.

 

• 미국: 2025년 2월부터 미 육군에 공급되는 모든 SW에 대해 SBOM 제출을 의무화했으며, 국가안보국(NSA) 산하 애플리케이션 인증에도 SBOM을 필수 요건으로 지정했습니다.
• 유럽연합(EU): 2027년 발효 예정인 '사이버회복력법(CRA)'을 통해 유럽 내 판매되는 모든 디지털 제품의 SBOM 생성 및 취약점 대응을 의무화합니다.
• 대한민국: 우리 정부 역시 2027년까지 공공 분야 IT 시스템 및 제품에 대해 SBOM 제출을 제도화한다는 로드맵을 발표하며 발 빠르게 움직이고 있습니다.

 

3. 진화하는 공급망 보안: 단순 명세서를 넘어 '제3자 위협 관리(TPRM)'로

도입기를 지나 성장기에 접어든 공급망 보안 시장은 이제 또 다른 진화를 맞이하고 있습니다.

초기에는 내가 만든 소프트웨어에 어떤 오픈소스가 들어갔는지 파악하는 'SBOM 생성' 자체가 목적이었다면, 이제는 공급망에 얽힌 '제3자(Third-Party)'의 보안 수준까지 실시간으로 검증하고 관리하는 체계로 발전하고 있습니다.

올해 초 대형 위탁생산 업체가 랜섬웨어에 감염되면서 애플, 엔비디아 등 글로벌 빅테크의 핵심 설계도가 유출될 뻔한 사건은 '제3자 위협 관리(TPRM)'의 중요성을 여실히 보여줍니다. 내부에 아무리 강력한 성벽을 쌓아도, 협력사의 보안이 취약하면 결국 내 데이터가 털리게 됩니다.

---

새로운 취약점이 발견되었을 때, 소스코드를 수동으로 전수 조사하는 기업은 파악에만 평균 7일 이상이 걸립니다. 하지만 체계적인 SBOM 관리 및 공급망 보안 솔루션을 갖춘 기업은 단 이틀, 혹은 그보다 훨씬 짧은 시간 안에 취약점 포함 여부를 파악하고 격리할 수 있습니다.

공공기관이나 대기업 납품을 준비하는 기업에게 SBOM 제출 의무화는 이미 눈앞에 다가온 현실입니다. 이제 기업들은 공급망 보안을 단순한 '비용'이나 '규제 대응'으로 여길 것이 아니라, 해킹 위협으로부터 비즈니스 연속성을 지켜내는 가장 강력한 '방패'로 인식하고 선제적으로 시스템을 구축해야 할 때입니다.