Documentatieplatform GitBook is getroffen door een gerichte cyberaanval waarbij AI-agenten werden gebruikt. De aanvaller kreeg toegang tot een deel van de infrastructuurgegevens, waarna GitBook zijn app en afgeschermde documentatiesites tijdelijk offline haalde.
Tokens kunnen buiten GitBook toegang geven
GitBook wordt gebruikt om technische documentatie te publiceren en te koppelen aan codeopslagplaatsen en andere diensten. Volgens de officiële incidentmelding kreeg de aanvaller op 2 november om 19.00 uur Nederlandse tijd ongeoorloofde toegang tot een deel van de infrastructuurgegevens.
Daardoor kunnen verschillende soorten gevoelige gegevens zijn ingezien. GitBook noemt tokens voor integraties, geheime gegevens voor Git Sync, persoonlijke API-tokens en vragen die bezoekers aan GitBook Assistant hebben gesteld. Het bedrijf zegt geen aanwijzingen te hebben dat gepubliceerde inhoud is aangepast.
Dat laatste neemt het belangrijkste risico niet weg. Een gestolen token kan buiten de documentatiepagina toegang geven tot een gekoppelde dienst. De precieze mogelijkheden hangen af van de rechten die aan zo’n sleutel zijn toegekend. GitBook heeft daarom alle persoonlijke API-tokens ingetrokken en eigen infrastructuurgegevens vervangen.
Gebruikers moeten koppelingen opnieuw instellen
Organisaties die GitBook aan andere diensten hebben gekoppeld, moeten zelf aanvullende stappen zetten. GitBook vraagt klanten om externe API-tokens en geheime integratiegegevens te vervangen. Gebruikers van de GitBook MCP-server moeten hun verbinding opnieuw bevestigen.
De app, API en gepubliceerde documentatie waren dinsdag weer bereikbaar. Enkele diensten konden nog minder goed werken terwijl het herstel werd afgerond. De statuspagina vermeldde daarnaast storingen bij inloggen via SSO en bij afgeschermde sites.
Voor cryptoprojecten is vooral controle van adressen en links in documentatie belangrijk. GitBook zegt weliswaar geen gewijzigde inhoud te hebben gevonden, maar projecten kunnen hun eigen pagina’s en gekoppelde accounts nog afzonderlijk nalopen. Een volledig incidentrapport moet duidelijk maken welke klanten en gegevens werkelijk zijn geraakt.
Tot die analyse verschijnt, blijft onbekend via welke kwetsbaarheid de aanvaller binnenkwam en hoeveel organisaties daadwerkelijk blootgestelde gegevens hadden.