메타 비공개 깃허브 저장소 유출: 직원 계정 도용으로 소스코드 및 1,500명 개인정보 노출

2026년 10월 13일(현지 시각), 해커가 탈취한 메타(Meta) 직원의 계정 자격 증명(Stolen Credentials)을 악용해 메타의 비공개 깃허브(GitHub) 저장소에 무단 침입하는 보안 침해 사고가 발생했습니다. 공격자는 해당 비공개 저장소에 보관되어 있던 소스코드를 탈취했을 뿐만 아니라, 메타 사내 보안 및 데이터 취급 정책을 위반하여 저장되어 있던 임직원 약 1,500명의 개인정보 데이터까지 외부로 유출했습니다.

이미지 출처: @IntCyberDigest via X

이번 침해 사실은 사이버 보안 전문 매체인 인터내셔널 사이버 다이제스트(International Cyber Digest) 및 보안 업계 보도를 통해 확인되었습니다. 개발자 계정 자격 증명 탈취가 기업의 비공개 코드베이스뿐만 아니라 부적절하게 보관된 내부 개인 식별 정보(PII) 유출로 직결된 전형적인 접근 통제 실패 사례입니다.

직원 계정 자격 증명 도용을 통한 저장소 침투와 유출 규모

사고 조사 결과에 따르면, 이번 침입은 깃허브(GitHub) 플랫폼 자체의 제로데이 취약점이나 인프라 결함으로 인해 발생한 것이 아닌 것으로 파악되었습니다.

공격자는 사전에 탈취한 메타 소속 직원의 정상 로그인 자격 증명을 이용해 메타 조직(Organization) 산하의 비공개 깃허브 저장소에 비인가 접근했습니다.

• 탈취 자산: 비공개 프로젝트 소스코드 및 리포지토리 내 저장 데이터
• 피해 규모: 주로 미국 내 인력을 포함한 임직원 약 1,500명의 개인정보 데이터
• 침해 경로: 직원의 탈취된 계정 자격 증명을 통한 비인가 로그인 및 데이터 외부 유출

공격자는 권한 획득 후 해당 비공개 저장소에 보관되어 있던 소스코드와 임직원 개인정보 데이터를 외부로 반출했습니다.

사내 보안 정책 위반과 비인가 데이터 보관 문제

이번 사고에서 특히 주목받는 대목은 유출된 임직원 개인정보의 저장 경위입니다.

조사 과정에서 해당 1,500여 명의 개인정보 데이터는 메타의 공식 보안 가이드라인 및 데이터 취급 정책을 위반한 채 비공개 깃허브 저장소 내에 보관되어 있었던 것으로 드러났습니다.

• 보안 정책 위반: 임직원 개인정보 데이터가 사내 보안 및 데이터 취급 규정을 위반하여 개발용 비공개 깃허브 저장소에 직접 저장되어 있었습니다.
• 비인가 데이터 노출: 중앙 거버넌스 감시망을 벗어난 저장소에 개인정보가 보관되면서, 단일 계정 탈취가 대규모 개인정보 유출 사고로 확대되었습니다.

이는 엔터프라이즈 환경에서 데이터 취급 정책을 수립하더라도, 개발 인프라 내에 정책을 위반해 비인가 보관된 데이터가 존재할 경우 심각한 공격 표면(Attack Surface)으로 작용할 수 있음을 보여줍니다.

침해 범위의 한계와 개발 파이프라인 보안 시사점

이번 유출 사고의 영향 범위와 관련해 확인된 핵심 경계는 다음과 같습니다.

첫째, 메타의 주력 프로덕션 서비스를 지탱하는 핵심 모노레포(Monorepo)는 깃허브가 아닌 사내 자체 소스코드 관리(SCM) 인프라에서 격리 운용되고 있습니다. 따라서 이번 침해는 깃허브 상에서 관리되던 특정 프로젝트 리포지토리에 국한된 것으로 확인되었습니다.

둘째, 깃허브 플랫폼 자체의 보안 아키텍처 결함은 배제되었습니다. 공격자는 도용된 직원 인증 정보를 악용했으므로, 개발자 계정 자격 증명 보안과 접근 통제 관리가 핵심 과제로 지목됩니다.

기업 보안 관점에서는 비공개 저장소라 할지라도 소스코드 외에 민감 개인정보가 업로드되지 않도록 저장소 감시 체계를 필수적으로 상시화해야 한다는 시사점을 남겼습니다.

출처

• International Cyber Digest: Meta GitHub Breach: Source Code and Employee Data Stolen via Compromised Credentials
• International Cyber Digest 공식 X (@IntCyberDigest): 2026-10-13 침해 사고 보고