Resumo
- Os invasores usaram credenciais roubadas para acessar repositórios da Meta no GitHub.
- Roubo atingiu código e dados pessoais de cerca de 1.500 pessoas.
- Empresa bloqueou o acesso e oferece monitoramento aos afetados.
A Meta confirmou o roubo de código e dados pessoais de cerca de 1.500 pessoas, principalmente funcionários nos Estados Unidos. Invasores usaram credenciais roubadas de um funcionário para acessar repositórios da companhia no GitHub.
A empresa afirma que não houve invasão de sistemas internos nem exploração de vulnerabilidades em seus produtos.
O que foi exposto no vazamento?
Segundo a SecurityWeek, os alertas aos afetados começaram nesta terça-feira (13). A Meta afirma que 99% do material retirado era código empresarial e 1% eram dados pessoais que foram armazenados por engano nos repositórios, contrariando a política interna da companhia. Não foi divulgado quais categorias de informações privadas foram expostas.
A empresa bloqueou o acesso dos invasores, acionou autoridades e renovou credenciais encontradas nos repositórios, além de realizar varreduras para identificar os dados armazenados indevidamente e oferecer suporte aos afetados.
Por que apagar um arquivo não basta?
O GitHub é uma plataforma de hospedagem e gerenciamento de código. Os projetos ficam organizados em repositórios, que podem ter acesso público ou privado. Esses ambientes preservam o histórico de alterações dos arquivos, permitindo acompanhar versões e colaborar no desenvolvimento de software.
Na documentação oficial de segurança, o GitHub alerta que credenciais podem se espalhar por cópias dos repositórios e até sistemas de backup, dificultando a remoção completa das informações expostas.
Por isso, apagar um arquivo da versão mais recente não basta para resolver uma exposição. O conteúdo pode continuar acessível. Se uma credencial for comprometida, é necessário trocá-la para impedir novos acessos. A plataforma oferece ferramentas para detectar credenciais nos repositórios, mas a proteção pode exigir configurações extras.
Dropbox e Twitter também tiveram código exposto
Em 2022, o Dropbox confirmou o roubo de 130 repositórios privados no GitHub após um ataque de phishing. Os invasores enviaram mensagens que se passavam pela CircleCI, plataforma usada pelos desenvolvedores da empresa, e induziram um funcionário a fornecer informações de autenticação em uma página falsa. O material roubado incluía protótipos e ferramentas internas. Segundo o Dropbox, os arquivos e as senhas dos usuários não foram comprometidos.
Já em 2023, trechos do código do Twitter foram publicados no GitHub. A rede social solicitou a retirada por violação de direitos autorais e buscou identificar o responsável.
Meta confirma roubo de código e dados pessoais no GitHub
