Dans un compte rendu d’incident publié le 2 novembre, GitBook a indiqué que des attaquants avaient accédé à son environnement de production pendant environ 3 heures et 25 minutes. Selon Odaily, 23pds, directeur de la sécurité des systèmes d’information chez SlowMist, a identifié Trade.xyz comme cible. Les attaquants ont exploité une faille dans le processus d’authentification unique pour usurper une session d’employé, utilisé des identifiants mal configurés d’une application GitHub pour accéder à un dépôt de code interne et obtenu une clé API Cloudflare. GitBook a désactivé les comptes de service concernés en quelques heures, mis la plateforme hors ligne pendant environ 16 heures, puis l’a entièrement rétablie à 11 h 56 UTC le 3 novembre.

GitBook a renouvelé ses clés d’infrastructure et les clés des clients hébergés, et a invalidé les jetons d’API. Comme des attaquants ont peut-être eu accès aux données des clients, l’entreprise a considéré que toutes les données des clients étaient potentiellement exposées, notamment les jetons d’API, les clés d’intégration, les clés de signature de session, les historiques de questions-réponses de l’assistant et les autorisations des applications GitHub et GitLab autorisées. Les informations de facturation, les mots de passe et les adresses IP n’ont pas été touchés. GitBook a indiqué que les éléments disponibles montrent que l’attaque visait un seul client, qu’aucun autre contenu client n’a été retrouvé altéré et que les attaquants se sont largement appuyés sur l’automatisation et l’IA.