새로운 의존성 취약점 스캐너 뎁워든(DepWarden)이 개발자 생태계의 숨겨진 위협인 타이포스쿼팅(typosquatting) 실태를 심층 분석한 보고서를 발표했습니다. 이 보고서는 가장 인기 있는 npm 및 PyPI 패키지 각각 30개에 대한 단일 문자 오타(typo) 변형을 생성하고, 실제 레지스트리에 등록된 패키지들을 OSV.dev의 악성 패키지 데이터베이스와 교차 검증했습니다. 그 결과, npm 생태계에서 타이포스쿼팅으로 등록된 유사 이름 패키지 중 32.7%가 이미 악성으로 분류되어 개발자들이 심각한 공급망 공격 위험에 노출되어 있음을 경고했습니다.
구체적으로, npm에서는 30개 인기 패키지에 대해 498개의 오타 후보 이름을 확인했으며, 이 중 297개(59.6%)가 실제 등록된 패키지였습니다. 그리고 이 등록된 패키지 중 97개(32.7%)는 OSV.dev 데이터베이스에 악성으로 등재되어 있었습니다. 반면, PyPI에서는 582개의 오타 후보 중 47개(8.1%)만 등록되었고, 이 중 악성으로 분류된 패키지는 단 한 개도 없었습니다. 이는 npm 생태계가 PyPI에 비해 타이포스쿼팅 공격에 훨씬 더 취약하다는 것을 명확히 보여줍니다. 특히, 오랫동안 사용되어 온 'request' 패키지가 17개의 악성 타이포스쿼팅 변형으로 가장 많은 위험에 노출된 것으로 나타났습니다.
이러한 분석은 단순히 가설이 아닌, 실시간 레지스트리 API 조회와 OSV.dev 데이터베이스를 통한 실제 검증 데이터를 기반으로 합니다. 뎁워든은 계정 생성이나 소스 코드 업로드 없이 매니페스트/록 파일을 붙여넣는 것만으로 OSV, KEV, EPSS 기반의 우선순위가 지정된 취약점 분석 결과를 제공하며, 타이포스쿼팅 탐지 기능을 기본적으로 포함하고 있습니다. 개발자들은 잠금 파일(lockfile)에 정확한 버전을 고정하고, 뎁워든과 같이 타이포스쿼팅을 별도로 탐지하는 스캐너를 사용하며, 의심스러운 이름의 패키지는 설치 전 반드시 재확인하는 습관을 들여야 합니다. 이 연구는 개발자들이 무심코 저지르는 오타가 실제 악성 코드 감염으로 이어질 수 있는 현실적인 위협임을 상기시키며, 소프트웨어 공급망 보안에 대한 경각심을 높이는 중요한 계기가 될 것입니다.