깃랩 저장 시크릿 유출에 24개 기업 해킹…깃랩, 하루 뒤 '치료제' 출시
클라우드섹(CloudSEK)은 랜섬웨어 제휴 공격자의 침해 24건을 깃랩 파이프라인과 저장소 이력에서 수확한 시크릿(비밀 인증정보)으로 추적했다. 하루 뒤 깃랩은 정확히 그 실패를 겨냥해 시크릿 사용 범위를 좁히는 보안 스택을 출시했다. 12월 1일 실적 발표에서 이 두려움이 마진이 완전히 잠식되기 전에 매출로 전환되는지가 갈린다.
Vincent Jiang · 3 min read
등록기관과 삭제된 데이터베이스
정부 관련 금융 등록기관 하나가 '아자젤(Azazel)'이라는 이름으로 활동하는 랜섬웨어 제휴 공격자에게 12만 건이 넘는 기록을 빼앗겼다. 아자젤은 파이썬 스크립트로 이 기관의 PostgreSQL 서버를 멈춰 세우고 운영용 데이터 디렉터리를 삭제했다 1. 그의 공격 행각은 6개국 24곳이 넘는 조직에 닿았다 1. 소프트웨어 플랫폼에서 시작해 12개가 넘는 고객 환경으로 번진 침입 한 건만으로도 150개가 넘는 데이터베이스와 수백 개의 소스 저장소에 접근권을 확보했다 1. 의료영상 회사 한 곳은 인증 없이 열려 있던 AI 영상 API를 통해 6TB(테라바이트)를 잃었다 12.
열쇠는 파이프라인 안에 있었다
클라우드섹의 보고서와 10월 5일 공개된 '젠틀맨 파일즈(The Gentlemen Files)' 2에 따르면 침해 건 대부분은 깃랩(GitLab) CI/CD 파이프라인과 설정 변수, 저장소 이력에서 훔친 인증정보에서 시작된 것으로 추적됐다. 훔친 인증정보의 내역은 데이터베이스 비밀번호, API 키, 액세스 토큰, SSH 개인키다 12. 연구진의 판단으로 시크릿 상당수는 저장소 현재 버전에서는 삭제됐지만 이전 커밋에 그대로 남아 있었다 2. 아자젤은 훔친 정보를 22TB 볼트(금고)로 밀어 넣는 29TB 서버에 쌓아 둔 뒤 MCP로 연결한 AI 코딩 어시스턴트를 이용해 침해된 컴퓨터에 명령을 내렸다 2. 조사 결과 어디에도 깃랩 자체가 뚫렸다는 대목은 없다. 적혀 있는 것은 고객들이 그 안에 남겨둔 것들이다.
치료제는 하루 뒤 도착했다
깃랩은 10월 6일 거버넌스 소프트웨어 팩토리('governed software factory') 출시를 발표했다. 정식 출시된 시크릿 매니저(Secrets Manager)는 시크릿마다 필요한 작업에만 접근범위를 묶고, 유출된 인증정보는 클릭 한 번으로 폐기한다. 여기에 얼리 액세스로 공개된 디펜던시 방화벽(Dependency Firewall)과 다섯 개 통제항목의 시큐리티 스탠다드(Security Standard)가 더해졌다 3. 안스로픽의 클로드 미토스 5와 5.1이 새로운 조치(리미디에이션) 플로우를 구동하게 된다 3. 같은 날 제이미 다이먼은 미토스 이후 사이버 리스크가 '10배 늘었다'고 말했다 4. 아자젤이 파이프라인에서 긁어모은 토큰 하나하나가, 보고서가 나오고 하루 뒤 깃랩이 내놓은 스택의 사용 사례다.
성장은 진짜, 청구서는 마진
깃랩은 9월 1일 2027 회계연도 2분기 실적을 발표했다. 매출은 2억8625만 달러로 전년 동기 대비 21.3% 늘었고, 조정 주당순이익(EPS)은 시장 기대치 0.18달러를 웃도는 0.24달러였다 56. 하지만 숫자 아래로 내려가면 그림이 뒤집힌다. 논-GAAP 매출총이익률은 90%에서 86%로 떨어졌고 GAAP 기준 매출총이익률은 6개 분기 연속 하락해 84.1%까지 내려왔다. 영업현금흐름은 1년 전 4937만 달러 흑자에서 -309만 달러 적자로 돌아섰다 67. 유료 AI 사용량은 4000만 달러의 런레이트(연환산 매출)를 넘어섰다. 경영진은 회계연도 말까지 1억 달러를 넘는 런레이트를 목표로 내걸었다 6.
깃랩 매출총이익률, 6개 분기 연속 하락…89.2%에서 84.1%로
Data
| GAAP 매출총이익률 | |
|---|---|
| 24년 1분기 | 88.9% |
| 24년 2분기 | 88.3% |
| 24년 3분기 | 88.7% |
| 24년 4분기 | 89.2% |
| 25년 1분기 | 88.3% |
| 25년 2분기 | 87.9% |
| 25년 3분기 | 86.8% |
| 25년 4분기 | 86.6% |
| 26년 1분기 | 85.8% |
| 26년 2분기 | 84.1% |
70달러 대 47달러
캐낵추어(Canaccord)는 실적 발표 다음 날 목표주가를 40달러에서 70달러로 끌어올렸다 8. 베어드는 '시장 대비 우수(아웃퍼폼)' 의견과 함께 목표주가를 59달러로 제시했다 8. 여전히 '언더웨이트(비중 축소)'인 바클레이스는 목표주가를 47달러로 옮겼고, 컨센서스는 51.75달러다 8. 깃랩 주가는 10월 6일 51.63달러로 마감했다 5. 강세 시나리오는 117%의 순매출 유지율 8과 깃랩 자체 집계 기준 전년 동기 대비 200% 늘어난 에이전트 기반 개발(agentic development) 사용자 수에 기대를 건다 3. 약세 논거는 마진과 현금흐름, 이 두 줄이다.
캐낵추어의 70달러 목표주가, 바클레이스 47달러와 51.63달러 종가를 훌쩍 넘는다
Data
| 목표주가·종가 | |
|---|---|
| 캐낵추어 | $70 |
| 베어드 | $59 |
| 컨센서스 | $51.75 |
| 10월 6일 종가 | $51.63 |
| 바클레이스 | $47 |
12월 1일이 판가름할 것
2027 회계연도 3분기 실적은 12월 1일 나온다 6. 연간 가이던스는 11억2900만~11억3300만 달러로, 성장률이 18~19%로 둔화될 것임을 사실상 인정한 수치다 6. 관건은 매출총이익률을 지킨 가운데 시크릿 매니저와 듀오(Duo) 사용량이 매출로 잡히는지 여부다. 보안 공포는 이제 하나의 상품 카테고리가 됐고, 그 값은 다음 실적 발표가 매긴다.
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
