A Meta revelou a invasão a um repositório no GitHub que expôs código de software e informações pessoais de cerca de 1.500 pessoas, a maioria funcionários nos Estados Unidos.
A empresa começou a notificar as pessoas afetadas em 13 de outubro, depois de descobrir a invasão várias semanas antes, que envolveu o roubo das credenciais de um funcionário.
Segundo a declaração da Meta à SecurityWeek, um grupo externo usou as credenciais comprometidas para acessar os repositórios da empresa.
A equipe de segurança encerrou posteriormente o acesso não autorizado e trabalhou com o GitHub e as autoridades policiais. A Meta esclareceu que o incidente não envolveu a exploração de uma vulnerabilidade em seus produtos nem o comprometimento de seus sistemas internos.
O material roubado era composto principalmente por informações comerciais. A Meta estimou que 99% dos dados levados eram código de software associado a alguns de seus produtos, enquanto informações pessoais representavam o 1% restante. A empresa não divulgou as categorias específicas de informações pessoais expostas nem os produtos afetados.
A empresa armazenou registros pessoais por engano em repositórios, em violação à sua política interna. Além disso, a Meta indicou que uma parte significativa das informações que pareciam ser dados pessoais era, na verdade, dados de teste sintéticos ou anonimizados.
Como resultado, os invasores podem ter dificuldade para distinguir registros genuínos de material de teste. No entanto, essa incerteza não anula a exposição confirmada.
A investigação da Meta com o GitHub não determinou se os invasores tinham como alvo específico os dados da empresa.
As informações divulgadas não identificam o grupo responsável, não explicam como as credenciais do funcionário foram roubadas nem especificam os mecanismos de autenticação envolvidos. Essas lacunas deixam sem solução, no domínio público, o comprometimento inicial das credenciais e o contexto mais amplo da campanha.
Para mitigar possíveis riscos, a Meta trocou os segredos encontrados nos repositórios afetados e reforçou a segurança de seus produtos em resposta à exposição dos dados comerciais.
A empresa também colaborou com o GitHub para implementar proteções adicionais nos repositórios. No entanto, não detalhou publicamente os segredos envolvidos nem as mudanças de segurança realizadas.
A Meta está introduzindo novos controles para impedir que informações de usuários sejam colocadas em repositórios do GitHub. A empresa também implementa varreduras proativas para identificar dados enviados por engano, somando uma camada extra de defesa às suas políticas existentes.
Essas medidas tratam do armazenamento impróprio de informações pessoais, que aumentou o impacto da invasão baseada em credenciais.
A Meta está oferecendo às pessoas afetadas serviços de monitoramento de crédito e de monitoramento da dark web, e está notificando reguladores.
O incidente evidencia duas falhas distintas: o acesso não autorizado ao repositório por meio de credenciais roubadas e o armazenamento de informações pessoais em violação à política da empresa. A resposta anunciada pela Meta busca tratar tanto a proteção de acessos quanto as práticas de manuseio de dados nos repositórios.
