npm install 한 번에 수백 개 패키지가 딸려 온다. 그중 하나가 탈취되면 그 코드는 내 빌드 서버에서 실행되고, 환경 변수와 토큰에 접근한다. 2026년에도 이런 사고가 반복해서 일어났다. 이 글은 실제로 벌어진 공격의 형태를 보고, 락파일·설치 명령·업데이트 정책 세 축으로 방어를 정리한다. 도구를 새로 사는 이야기가 아니라 지금 설정을 바꾸는 이야기다.2026년에 실제로 일어난 일들세 건만 봐도 공격의 성격이 드러난다.2026년 3월, 다운로드 수가 가장 많은 축에 드는 axios가 인증 정보 탈취를 통해 침해됐다. 5월 14일에는 주당 1,000만 회 넘게 내려받는 IPC 라이브러리 node-ipc의 악성 버전 세 개가 동시에 npm 레지스트리에 올라왔다. 8월 4일에는 keyv와 cach..