주의: 저명한 Rust 개발자를 겨냥한 표적 공격

• rust-lang 구성원과 인기 크레이트 소유자의 기기와 계정을 탈취해 악성코드를 배포하려는 공격 캠페인이 진행 중인 것으로 추정됨
• 공격자는 채용, 프로젝트, 계약 기회를 미끼로 화상 통화를 마련한 뒤, 오디오 코덱 설치나 명령 실행을 유도함
• 간단한 신원 확인을 통과하기 위해 그럴듯한 LinkedIn 계정 등을 갖춘 정상 기업처럼 보이는 프로필을 새로 만들고 있음
• 6월 Rust 개발자 표적 공격과 8월 arrayref 크레이트 침해에서도 유사한 수법이 사용됐지만, 모두 같은 캠페인인지는 확인되지 않음
• 모르는 사람이 먼저 보내는 연락을 경계하고 신뢰하는 통화 플랫폼을 사용하며, 계정의 MFA 활성화 여부와 예상치 못한 로그인 기록을 점검해야 함

관찰된 공격 수법과 관련 사례

• 공격자는 좋은 기회를 제안하는 척하며 마련한 화상 통화를 기기 침해의 통로로 이용함
  • 채용, 프로젝트 참여, 계약 기회 등을 제안해 통화를 마련함
  • 오디오 코덱이 없다는 구실로 프로그램 설치를 유도하거나, 클립보드에 명령을 넣는 등의 방식으로 실행을 유도함
• 새로 만든 기업 프로필과 LinkedIn상의 그럴듯한 활동 정보로 간단한 신원 확인을 통과하려 함
• 유사한 공격이 이미 Rust 개발자와 크레이트를 겨냥한 적이 있음
  • 2026년 6월에는 같은 형태의 공격이 다수의 저명한 Rust 개발자를 표적으로 삼음
  • 8월에는 유사 공격으로 arrayref 크레이트가 잠시 침해됨
  • 이 사례들이 하나의 캠페인에 속하는지는 아직 알 수 없음
• 이 수법은 북한이 사용하는 것으로 알려져 있으며, Rust 커뮤니티 밖에서도 관찰됨

예방 조치와 문의 창구

• 당분간 각별히 주의하고, 모르는 사람이 먼저 보내는 연락을 경계해야 함
• 새로운 사람과 통화할 때는 신뢰하는 플랫폼을 사용해야 하며, 가능하면 자신이 이미 쓰는 플랫폼에서 직접 통화를 개설하는 편이 좋음
• 계정이 정상 상태인지 다시 확인해야 함
  • 다중 요소 인증(MFA) 활성화 여부를 점검함
  • 로그인 기록을 확인할 수 있는 플랫폼에서는 예상치 못한 로그인이 없는지 확인함
• 계정 관련 우려가 있으면 다음 창구로 도움을 요청할 수 있음
  • crates.io 계정 문제는 help@crates.io로 문의하면 됨
  • 그 밖의 보안 우려는 security@rust-lang.org로 문의하면 됨