GitBook 보안 사건 재검토: 공격은 Trade.xyz를 겨냥했으며, SSO 취약점으로 인해 프로덕션 환경이 침해됨

BlockBeats 소식, 11월 5일 GitBook은 11월 2일 보안 사건 회고를 발표하며, 공격자가 단일 로그인(SSO) 프로세스 취약점을 악용해 직원 로그인 세션을 위조한 후 조직 내 잘못 구성된 GitHub App 인증 정보를 조회하고, 내부 코드 저장소에 침입해 Cloudflare API 키를 확보했으며, 최종적으로 서비스 계정을 통해 전체 프로덕션 환경 권한을 얻었다고 밝혔다. GitBook은 수 시간 내에 관련 내부 서비스 계정을 비활성화하여 공격을 차단했고, 이로 인해 플랫폼이 약 16시간 동안 다운되었으며 11월 3일 11:56 UTC에 전면 복구되었다. 공격자는 프로덕션 환경에 누적 약 3시간 25분 동안 머물렀으며, GitBook은 모든 인프라와 호스팅 고객 키를 교체하고 API 토큰을 무효화했다.

GitBook은 현재 징후로 볼 때 공격이 플랫폼 전체가 아닌 단일 고객을 대상으로 한 것으로 보이며, 다른 고객의 콘텐츠가 변조된 흔적은 발견되지 않았다고 밝혔다. 그러나 공격자가 플랫폼 내 고객 데이터에 접근할 수 있었기 때문에 모든 고객 데이터가 노출될 가능성이 있는 것으로 처리했으며, 여기에는 API 토큰, 통합 키, 세션 서명 키, 어시스턴트 질의응답 기록, 그리고 승인된 저장소의 GitHub, GitLab 앱 권한 등이 포함된다. 청구 정보, 비밀번호, IP 주소는 영향을 받지 않았다. GitBook은 공격의 진행 속도와 정밀도가 자동화와 AI에 크게 의존했다고 밝혔다. SlowMist 최고정보보안책임자(CISO) 23pds는 이 회고를 공유하며 지목된 대상이 Trade.xyz라고 전했다. Trade.xyz는 앞서 문서 이상이 GitBook 인프라 침해에서 비롯된 것이며 자사 인프라가 침해된 징후는 발견되지 않았다고 밝혔고, 수일 내에 GitBook에서 이전할 예정이라고 전했다.