프로덕션 환경 침해 약 3시간 25분, GitBook은 공격 대상이 Trade.xyz라고 공개

Odaily 보도: GitBook이 11월 2일 보안 사고 회고를 발표하며, 공격자가 SSO(Single Sign-On) 프로세스의 취약점을 악용해 직원 세션을 위조하고, 잘못 구성된 GitHub App 인증 정보를 통해 내부 코드 저장소에 침입해 Cloudflare API 키를 획득했으며, 최종적으로 프로덕션 환경 권한을 얻었다고 밝혔다. GitBook은 수 시간 내에 관련 서비스 계정을 비활성화했고, 플랫폼은 약 16시간 동안 오프라인 상태였다가 11월 3일 11:56 UTC에 전면 복구되었으며, 공격자는 프로덕션 환경에 약 3시간 25분 동안 머물렀다.

GitBook은 인프라와 호스팅 고객 키를 교체하고 API 토큰을 무효화했다. 공격자가 플랫폼 내 고객 데이터에 접촉했을 가능성이 있으므로, GitBook은 모든 고객 데이터가 노출될 수 있다고 가정하고 대응하고 있으며, 여기에는 API 토큰, 통합 키, 세션 서명 키, 어시스턴트 Q&A 기록, 그리고 권한이 부여된 저장소의 GitHub 및 GitLab 앱 권한이 포함된다. 청구 정보, 비밀번호, IP 주소는 영향을 받지 않았다. GitBook은 현재 징후로 볼 때 공격이 단일 고객을 겨냥한 것이며 다른 고객의 콘텐츠가 변조된 흔적은 발견되지 않았다고 밝혔고, 공격 진행이 자동화와 AI에 크게 의존했다고 설명했다. SlowMist 최고 정보 보안 책임자 23pds는 해당 대상이 Trade.xyz라고 밝혔다.