npm, 고영향 계정에 72시간 보호 조치 도입…공급망 공격 차단 강화

GitHub 공식 변경 로그에 따르면 npm은 25일(현지시간) 고영향 계정에 대한 예방적 보호 장치를 도입했다. 대상은 npm 레지스트리에서 널리 사용되는 패키지를 맡고 있는 계정이다. 계정 이메일이 바뀌거나 2단계 인증 복구 코드가 사용되는 등 민감한 변경이 감지되면 해당 계정은 72시간 동안 읽기 전용 상태로 전환된다.

이번 조치는 계정 탈취 이후 이메일을 바꾸고 새 토큰을 발급한 뒤 악성 버전을 배포하는 공격 흐름을 차단하는 데 초점을 맞춘다. GitHub는 이전 이메일 주소로 알림을 보내고, 보호 기간 동안 패키지 설치와 다운로드, 조직·팀 조회, 계정·패키지 설정 확인은 계속 가능하다고 설명했다.

제한되는 작업은 레지스트리나 계정 보안에 직접 영향을 줄 수 있는 조작이다. 패키지 게시, 토큰 관리, 패키지 공개 범위 변경, 조직·팀 멤버십 수정 등이 일시 중단된다. 보호 상태는 별도 재확인 절차 없이 72시간 뒤 자동 해제되며, 의존하는 사용자를 위해 패키지 자체는 계속 이용 가능하다.

npm은 자바스크립트 생태계의 핵심 패키지 레지스트리다. 최근 몇 년간 오픈소스 공급망 공격은 인기 패키지 관리자의 계정 탈취, 토큰 유출, 악성 버전 게시 같은 방식으로 반복됐다. 이번 변경은 모든 계정에 동일한 마찰을 주기보다 영향도가 큰 계정의 민감한 변경 시점에 배포 권한을 잠시 멈추는 접근에 가깝다.

개발팀 입장에서는 패키지 관리 계정의 이메일·2FA 복구 흐름이 배포 권한과 직접 연결된 보안 경계가 됐다는 점이 중요하다. npm 패키지를 운영하는 조직은 계정 복구 수단, 이전 이메일 수신 가능 여부, 토큰 발급 정책, 조직 멤버 권한을 함께 점검할 필요가 있다.

출처: GitHub Changelog https://github.blog/changelog/2026-06-25-npm-adds-preventive-account-protection-for-high-impact-accounts/