Trigger.dev, 고객 0.66% 환경변수 무단 접근 확인…API 키 폐기

Trigger.dev가 11월 6일 공개한 공식 보안 사고 보고서에 따르면, 공격자는 일부 고객 환경의 루트 API 키를 확보해 환경변수에 무단 접근했다. 회사가 밝힌 영향 범위는 전체 고객의 0.66%다. 이 비율은 고객 기준으로, 개별 이용자 수나 노출된 인증정보의 개수를 뜻하지 않는다.

사고는 11월 1일 비정상 활동을 감지한 인프라 경보를 통해 드러났다. Trigger.dev는 악의적 활동을 확인한 뒤 공격자의 접근을 차단하고 공격 경로에 대한 완화 조치를 취했다고 설명했다. 구체적인 침입 방식은 조사와 고객 보호를 이유로 공개하지 않았으며, 책임 있게 공개할 수 있는 시점에 공유하겠다고 밝혔다.

루트 API 키는 해당 환경의 설정과 환경변수에 대한 전체 접근 권한을 부여한다. 회사는 일부 고객 환경에서 공격자가 최근 작업 실행, 배포, 예약 작업 목록을 조회한 사실도 확인했다. 이 조회 결과에는 실행·배포·예약 작업 식별자, 작업 이름, 실행 상태와 태그, 배포 메타데이터 등이 포함된다.

환경변수에는 데이터베이스 비밀번호나 외부 서비스 API 키처럼 다른 시스템으로 연결되는 인증정보가 저장될 수 있다. Trigger.dev가 노출된 자체 API 키를 폐기했더라도, 피해 환경에 들어 있던 외부 서비스의 인증정보까지 함께 무효화되는 것은 아니다. 회사는 피해 고객에게 해당 환경의 인증정보를 침해된 것으로 취급하라고 안내했다.

피해 고객은 Trigger.dev API 키를 다시 발급하고, 영향받은 환경에 저장된 데이터베이스 비밀번호와 제3자 API 키, 접근 토큰을 교체해야 한다. 이전 인증정보는 각 제공업체에서 폐기하도록 권고했다. 영향 여부와 대상 환경은 회사가 보낸 이메일과 대시보드 알림에서 확인할 수 있으며, 회사는 영향 통지를 받지 않은 조직은 이번 사고의 영향 대상이 아니라고 밝혔다.

피해 범위에 관한 설명도 구분할 필요가 있다. Trigger.dev는 다른 고객 데이터나 서비스, 자사 운영 데이터베이스, 고객 대시보드 계정에 공격자가 접근했다는 증거는 발견하지 못했다고 밝혔다. 자체 호스팅 설치는 이번 공격의 영향을 받지 않았고, 웹훅 서명용 비밀값도 노출되지 않아 교체할 필요가 없다고 안내했다.

회사는 환경변수를 저장할 때 암호화하고 작업 실행에 필요한 시점에 복호화한다고 설명했다. 다만 이번 사고는 저장 데이터의 암호화 여부와 별개로 환경 접근 권한을 가진 API 키의 관리가 중요하다는 점을 보여준다. 공식 API 문서 역시 서비스·연동별 키 분리와 필요한 최소 권한 선택, 비밀정보 관리 도구 사용을 권고하고 있다.

Trigger.dev는 내부 인증정보 교체와 API 접근 로그 점검을 진행했으며, 외부 보안 사고 대응 전문가를 투입하고 수사기관에도 통지했다고 밝혔다. 추가 조치로 권한 범위를 제한한 API 키의 IP 허용 목록과 OIDC 지원을 내놨다. 앞으로 인프라의 다층 방어와 조기 탐지 기능을 강화하겠다는 방침이다.

출처: Trigger.dev 공식 사고 보고서 https://trigger.dev/blog/security-incident-report-nov-2026 · Trigger.dev 최초 보안 공지 https://trigger.dev/blog/security-incident-nov-2026 · Trigger.dev API 키 공식 문서 https://trigger.dev/docs/apikeys