A Meta confirmou que houve um roubo de código e dados pessoais afetando aproximadamente 1.500 indivíduos, sendo a maioria funcionários localizados nos Estados Unidos. Os invasores conseguiram acessar repositórios da companhia na plataforma GitHub utilizando credenciais que haviam sido obtidas de um funcionário.
A empresa assegurou que não ocorreu nenhuma invasão em seus sistemas internos, tampouco houve exploração de falhas de segurança em seus produtos. De acordo com a SecurityWeek, os avisos foram enviados aos afetados nesta terça-feira, dia 13.
A Meta informou que 99% do material que foi extraído consistia em código corporativo, enquanto apenas 1% eram dados pessoais que foram inadvertidamente armazenados nos repositórios, o que contrariava as diretrizes internas da empresa. Embora não tenha sido especificado quais tipos de informações privadas foram expostas, a companhia tomou medidas imediatas.
Para conter a situação, a empresa bloqueou o acesso dos invasores, notificou as autoridades competentes e procedeu à renovação das credenciais encontradas nos repositórios. Além disso, foram realizadas varreduras para localizar os dados armazenados incorretamente e oferecido suporte aos colaboradores atingidos.
O GitHub funciona como uma plataforma para hospedagem e gestão de código, onde os projetos são estruturados em repositórios que podem ser públicos ou privados. Esses ambientes mantêm o registro histórico das modificações dos arquivos, facilitando o acompanhamento de versões e a colaboração no desenvolvimento de software.
A documentação oficial de segurança do GitHub adverte que as credenciais podem se disseminar através de cópias dos repositórios e até mesmo de sistemas de backup, o que complica a eliminação total das informações expostas. Por essa razão, simplesmente excluir um arquivo da versão mais recente não resolve a exposição, pois o conteúdo pode permanecer acessível. Caso uma credencial seja comprometida, é imprescindível trocá-la para prevenir novos acessos. A plataforma disponibiliza recursos para detecção de credenciais em repositórios, mas a proteção eficaz pode demandar configurações adicionais.
Casos anteriores ilustram riscos semelhantes: em 2022, o Dropbox confirmou o roubo de 130 repositórios privados no GitHub após um ataque de phishing. Os invasores simularam mensagens da CircleCI, ferramenta utilizada pelos desenvolvedores do Dropbox, levando um funcionário a fornecer suas credenciais em uma página fraudulenta. O material furtado incluía protótipos e ferramentas internas, embora o Dropbox tenha afirmado que arquivos e senhas de usuários não foram comprometidos.
Adicionalmente, em 2023, trechos do código do Twitter foram publicados no GitHub, o que levou a rede social a solicitar a remoção do material por infração de direitos autorais e iniciar a busca pelo responsável.