RubyGems.org AWS 루트 접근 권한 사건 상세 분석
사건 발생 및 초기 대응
-
2025년 9월 30일: 전 관리자 André Arko가 RubyGems.org 프로덕션 환경 접근 권한 잔존 사실을 통보했고, Joel Drapper가 이를 공개 블로그에 게시.
-
Ruby Central은 즉각 비상팀을 구성, AWS 루트 계정 통제권을 회복했으나, 무단 당사자가 9월 19일 루트 계정 비밀번호를 변경했음을 확인.
-
이후 모든 관련 하위 계정 및 레거시 자격 증명을 해지하고, 새 MFA 토큰을 발급, 새 루트 접근 자격 증명을 보안 저장소로 이전하여 통제권 확보.
무단 접근 경위 및 피해 범위
-
원인: Ruby Central은 Mr. Arko의 접근 권한을 제거했으나, AWS 루트 계정 비밀번호 변경은 누락.
-
경위: 9월 19일부터 무단 행위자가 루트 계정 세션을 시작하여 비밀번호 변경, IAM 권한 조작 및 정보 확인을 시도. 9월 30일에는 블로그에 공개된 자격 증명을 획득.
-
피해 없음: 최종 사용자 데이터, 계정, 젬 또는 인프라 가용성에 대한 침해 증거는 없었으며, RubyGems.org는 사건 내내 정상 운영.
해결 조치 및 근본 원인
-
해결 조치: 기존 루트 및 IAM 자격 증명 해지 후 새 MFA 보호 접근 권한 생성, 관련 비밀 및 토큰 교체, AWS CloudTrail/GuardDuty/DataDog 경고 활성화, IAM 역할 및 정책 검토, 외부 보안 감사 시작, 보안 런북 업데이트를 완료.
-
근본 원인: 공유 자격 증명 외부 유출 가능성 미고려와 인력 이탈 후 AWS 루트 계정 자격 증명 미교체가 복합적으로 작용.