OpenCode 해킹 사고 총정리 2026년 — 유출 아닌 악용, 영향과 지금 할 조치

OpenCode 해킹 사고, 먼저 바로잡을 것

‘OpenCode 해킹 사고’로 검색하면 OpenCode가 뚫려 데이터가 새어 나간 사건처럼 읽힙니다. 하지만 공개된 근거로 확인되는 사실은 다릅니다. 2026년 9월 7일 국내 보안업체 지니언스 시큐리티 센터는 북한 연계 해킹 조직 김수키(Kimsuky)가 오픈소스 AI 코딩 에이전트 오픈코드(opencode)로 공격용 미끼 문서를 만든 정황을 보고서로 공개했습니다.

이번 사건은 OpenCode의 데이터 유출이 아니라 공격자가 OpenCode를 도구로 악용한 사례입니다. 현재 확보된 자료에는 OpenCode 사용자 계정이나 코드가 유출됐다는 내용이 없습니다. 유출 범위를 단정하는 글이 보인다면 원문 근거가 있는지 먼저 확인하세요.

유출 범위가 아니라 ‘악용 범위’ — 무엇이 확인됐나

분석 대상과 근거

지니언스는 보도 기준 지난달 수집한 악성 파일 13종을 분석했습니다. OpenCode를 쓴 근거로는 두 가지가 제시됐습니다.

– 문서 속성 정보에 제작 도구로 오픈코드가 그대로 기록돼 있었음
– 납부 주기·금리 등 수치가 들어가야 할 자리에 ‘(임시값)’ 표기가 치환되지 않은 채 남아 있었음

두 번째 흔적은 AI가 만든 초안을 공격자가 제대로 검토하지 않고 유포한 결과로 풀이됩니다. 지니언스는 앞서 김수키가 AI와 로컬 LLM을 공격 준비에 활용한 정황을 공개한 적이 있지만, AI 코딩 에이전트 활용이 확인된 것은 이번이 처음이라고 밝혔습니다.

미끼의 형태

공격은 이메일로 유포된 압축 파일에서 시작합니다. 안에는 보험료 납부 안내, 이자 납부 안내, 정책자금 안내처럼 그럴듯한 이름의 파일이 들어 있고, 클릭하는 순간 악성 코드가 실행됩니다.

감염 이후 흐름과 영향

단계	공격 내용	탐지 포인트	대응 수단(추천 대상)
1. 유입	금융·보험 위장 압축 파일 이메일	출처 불명 압축 첨부	메일 보안 필터 — 금융 안내 메일을 자주 받는 실무자
2. 명령 수신	공격자 깃허브 계정에서 추가 명령 수신, 일부 변종은 페이스트빈 병행	업무와 무관한 깃허브·페이스트빈 접속	네트워크 접속 모니터링 — 소규모 사무실·1인 사업자
3. 지속성	비트로커·MATLAB 위장 예약 작업 등록, 5분 후부터 주기 실행	낯선 이름의 숨김 예약 작업	엔드포인트 점검 도구 — 업무 PC 관리자
4. 회피	분석 도구 실행 감지 시 즉시 중단, 명령 실행 기록 삭제	기록이 비어 있는 이상 징후	행위 기반 EDR — 다수 PC를 운영하는 조직

깃허브 경로가 막혀도 페이스트빈으로 명령을 계속 받을 수 있게 이중 채널을 둔 점, 분석 도구가 보이면 멈추는 회피 기능이 신규 변종에서 강화된 점이 핵심입니다. 문서만 봐서는 정상 안내문과 구분이 어려워졌다는 것이 가장 큰 영향입니다.

지금 해야 할 조치 5가지

1. 압축 첨부 열기 전 발신처 확인 — 보험료·이자·정책자금 안내는 해당 기관 공식 앱이나 홈페이지에서 직접 조회하세요.
2. 예약 작업 점검 — 작업 스케줄러에서 비트로커나 MATLAB 이름을 단 작업 중 직접 등록하지 않은 것이 있는지 확인합니다. MATLAB을 설치하지 않았는데 관련 작업이 있다면 특히 의심해야 합니다.
3. 깃허브·페이스트빈 접속 기록 확인 — 개발 업무가 없는 PC에서 이 사이트 접속이 반복되면 점검 대상입니다.
4. AI 생성 문서 맹신 금지 — ‘(임시값)’ 같은 미치환 표기는 AI 초안이라는 신호일 수 있습니다. 단, 이것이 없다고 안전하다는 뜻은 아닙니다.
5. 개별 경보가 아니라 흐름으로 탐지 — 지니언스는 압축 해제 → 의심 파일 실행 → 깃허브·페이스트빈 접속 → 숨김 예약 작업 등록을 하나의 흐름으로 묶어 탐지하라고 권고했습니다.

보안 도구, 무엇을 기준으로 고를까

백신은 개별 파일 탐지 중심이라 이번처럼 단계를 쪼갠 공격에 약할 수 있습니다. 위 5번 권고를 실천하려면 프로세스 실행·네트워크 접속·예약 작업 등록을 연결해 보여 주는 행위 기반 EDR이 필요합니다. 고를 때는 세 가지를 확인하세요.

– 예약 작업 생성 이벤트를 기록하는지
– 정상 서비스(깃허브 등) 접속도 프로세스별로 추적하는지
– 무료 체험 기간에 우리 환경에서 오탐 수준을 확인할 수 있는지

개인이나 소규모 사무실이라면 가성비를 따져 기존 백신에 메일 필터를 더하는 구성부터 시작하고, PC가 여러 대인 조직이라면 EDR 도입을 검토하는 순서가 현실적입니다. 가격과 할인 조건은 벤더마다 달라 공식 견적으로 확인하세요.

결론 — 가장 추천하는 대응

OpenCode를 쓰고 있다고 해서 이번 사건으로 직접 피해를 봤다고 볼 근거는 없습니다. 위험한 것은 AI로 대량 생산된, 진짜처럼 보이는 금융 안내 미끼입니다. 가장 추천하는 대응은 행위 흐름 기반 탐지를 지원하는 EDR 도입이며, 당장은 예약 작업 점검과 압축 첨부 확인 습관만으로도 감염 경로의 상당 부분을 막을 수 있습니다.

참고 자료

– [[AI프리즘] 북한 김수키, AI 코딩 에이전트까지 썼다…해킹 자동화](https://www.yna.co.kr/view/AKR20260907021600017)
– [[AI프리즘] 북한 김수키, AI 코딩 에이전트까지 썼다…해킹 자동화 | 데일리이슈](https://youtub.news/industry/15494176)

이 글은 AI로 초안을 작성하고 사람이 사실 확인과 편집을 거쳐 발행했습니다. 본문에 인용한 수치와 일정은 함께 링크한 출처에서 확인할 수 있으며, 제도·요금처럼 자주 바뀌는 정보는 공식 공지로 한 번 더 확인해 주세요. 검수 절차와 필자 표기는 사이트 소개에 정리해 두었습니다.