한화 비전(Hanwha Vision)의 일부 보안 카메라 펌웨어에서 깃허브(GitHub) 관리자 토큰이 발견되어 논란이 되고 있습니다. 한 보안 연구원이 펌웨어를 분석하는 과정에서 이 토큰을 찾아냈으며, 해당 토큰은 한화 비전의 깃허브 조직 내 수백 개의 저장소에 대한 관리자 권한을 가지고 있었던 것으로 확인되었습니다. 이는 잠재적으로 기업의 핵심 자산과 소스 코드에 대한 무단 접근을 허용할 수 있는 매우 심각한 보안 결함입니다.
이 문제는 카메라 UI를 빌드하는 과정에서 CI/CD(지속적 통합/지속적 배포) 환경 변수 전체가 펌웨어 파일에 포함되면서 발생했습니다. 특히, 깃허브 토큰 외에도 미국 국방부(DoD) 관련 IP 주소가 포함된 환경 변수들이 발견되어 배경에 대한 의문이 제기되었습니다. 한화 비전은 과거 삼성 테크윈(Samsung Techwin)으로 설립되어 K9 자주포 등 방위 산업과 연관된 이력을 가지고 있어, 이러한 정보 유출이 단순한 실수인지 아니면 더 복잡한 연관성이 있는지는 추가 조사가 필요한 부분입니다. 연구원은 약 500개의 펌웨어를 분석한 결과, 62%에서 동일한 깃허브 토큰이 발견되었음을 확인했습니다.
이번 사건은 기업들이 소프트웨어 개발 및 배포 과정에서 얼마나 민감한 정보를 부주의하게 다룰 수 있는지 보여주는 경고등입니다. 특히, CI/CD 파이프라인에서 사용되는 환경 변수들은 보안에 매우 취약할 수 있으므로, 빌드 아티팩트에 민감 정보가 포함되지 않도록 철저한 검증과 관리가 필수적입니다. 이러한 취약점은 단순히 기업의 평판 손상을 넘어, 지적 재산권 유출, 시스템 침해 등 광범위한 피해로 이어질 수 있기에 모든 기업은 개발 보안(DevSecOps) 강화에 더욱 힘써야 할 것입니다.