GitBook 보안 사건 복기: 공격은 Trade.xyz를 겨냥했으며, SSO 취약점으로 인해 생산 환경이 침해됨

GitBook은 11월 2일 보안 사건 복기를 발표하며, 공격자가 단일 로그인 프로세스의 취약점을 이용해 직원 로그인 세션을 위조하고, 조직 내 잘못 구성된 GitHub App 인증 정보를 조회하여 내부 코드 저장소에 접근하고 Cloudflare API 키를 획득하여, 최종적으로 서비스 계정을 통해 전체 생산 환경 권한을 얻었다고 밝혔습니다.

GitBook은 몇 시간 내에 관련 내부 서비스 계정을 비활성화하여 공격을 차단했으며, 플랫폼은 약 16시간 동안 다운되었고, 11월 3일 11:56 UTC에 전면 복구되었습니다. 공격자는 생산 환경에서 약 3시간 25분 동안 머물렀으며, GitBook은 모든 인프라와 호스팅 고객 키를 교체하고 API 토큰을 폐기했습니다.

GitBook은 현재 징후에 따르면 공격이 플랫폼 전체가 아닌 단일 고객을 겨냥한 것으로 보이며, 다른 고객의 콘텐츠가 변조된 사실은 발견되지 않았지만, 공격자가 플랫폼 내 고객 데이터에 접근할 수 있었기 때문에 모든 고객 데이터가 노출될 수 있다고 처리하고 있습니다. 여기에는 API 토큰, 통합 키, 세션 서명 키, 도우미 질문 기록 및 승인된 저장소의 GitHub, GitLab 애플리케이션 권한 등이 포함되며, 청구 정보, 비밀번호 및 IP 주소는 영향을 받지 않았습니다.

GitBook은 공격의 진행 속도와 정확도가 자동화 및 AI에 크게 의존한다고 밝혔습니다. 느린 안개(Slow Mist)의 최고 정보 보안 책임자 23pds는 해당 복기를 전파하며, 지목된 목표가 Trade.xyz라고 언급했습니다. Trade.xyz는 이전에 문서의 이상이 GitBook 인프라의 침해에서 발생했다고 밝혔으며, 자체 인프라에서는 공격의 흔적이 보이지 않으며, 수일 내에 GitBook에서 이전할 것이라고 전했습니다.