GitBookは11月2日のインシデントレビューで、攻撃者が本番環境に約3時間25分間アクセスしていたと発表しました。Odailyによると、SlowMistの最高情報セキュリティ責任者である23pdsは、標的はTrade.xyzだったと特定しました。攻撃者はシングルサインオンのプロセスにあった脆弱性を悪用して従業員のセッションを偽造し、設定に不備のあるGitHub Appの認証情報を使って社内のコードリポジトリにアクセスしたうえ、CloudflareのAPIキーを入手しました。GitBookは数時間以内に影響を受けたサービスアカウントを無効化し、プラットフォームを約16時間オフラインにした後、11月3日11:56 UTCに完全復旧しました。

GitBookはインフラストラクチャキーとホスト顧客のキーをローテーションし、APIトークンを無効化しました。攻撃者が顧客データにアクセスした可能性があるため、同社はAPIトークン、連携キー、セッション署名キー、アシスタントのQ&A記録、承認済みのGitHubおよびGitLabアプリの権限を含む、すべての顧客データが漏えいした可能性があるものとして扱いました。請求情報、パスワード、IPアドレスへの影響はありませんでした。GitBookによると、入手可能な証拠から、攻撃は特定の1顧客に焦点を当てていたことが示されており、他の顧客のコンテンツが改ざんされた形跡はなく、攻撃者は自動化とAIに大きく依存していました。