Meta avisa a 1.500 personas que atacantes se llevaron código y datos personales de sus repositorios en GitHub

Meta empezó el 13 de octubre a notificar a unas 1.500 personas, en su mayoría empleados en Estados Unidos, que sus datos personales quedaron expuestos después de que un grupo externo entrara a algunos de los repositorios de código de la empresa en GitHub. Según contó Meta a SecurityWeek, los atacantes usaron las credenciales robadas de un empleado. La intrusión se detectó hace unas semanas.

Qué se llevaron

Según la empresa, el 99% de lo que se llevaron es código de software relacionado con algunos de sus productos. El 1% restante son datos personales que habían quedado guardados en los repositorios por error, en contra de la política interna de Meta. La empresa no detalló qué tipo de datos personales eran. Agregó que una parte importante de lo que parecían datos personales eran en realidad datos de prueba, sintéticos o anonimizados, así que los atacantes podrían no distinguir los registros reales de los de prueba.

Meta sostiene que no fue una falla en ninguno de sus productos y que sus sistemas internos no fueron vulnerados. "Se accedió de forma indebida a datos de negocio de Meta guardados en un repositorio de GitHub usando las credenciales robadas de un empleado", dijo un vocero. Por lo investigado hasta ahora junto con GitHub, la empresa no cree que los atacantes buscaran específicamente sus datos.

Qué hizo Meta

El equipo de seguridad cortó el acceso de los atacantes y dio intervención a GitHub y a las fuerzas de seguridad. La empresa también está notificando a los reguladores y ofrece a los afectados un servicio de monitoreo de crédito y de la web oscura.

Además, cambió las claves y secretos que encontró en los repositorios afectados, reforzó la seguridad de los productos que podían quedar expuestos por el código robado y está sumando controles que revisan de forma automática si alguien sube datos de usuarios a GitHub por error.

Por qué importa

El caso repite un patrón frecuente: los repositorios de código guardan más de lo que deberían, como contraseñas, claves de acceso o datos de personas, y una sola credencial robada alcanza para llevárselo. Para cualquier empresa que use GitHub o servicios parecidos, las medidas que tomó Meta después del ataque sirven como lista de control: exigir un segundo factor de autenticación, revisar los repositorios en busca de secretos y datos personales, y cambiar de inmediato cualquier clave que haya quedado expuesta.