Meta confirma roubo de código e de dados de 1.500 pessoas em repositórios no GitHub

A Meta confirmou que um grupo externo levou código e dados pessoais de repositórios da empresa no GitHub. A invasão foi feita com a credencial roubada de um funcionário, e cerca de 1.500 pessoas, a maioria funcionários da própria Meta nos Estados Unidos, estão sendo avisadas desde a terça-feira (13), segundo a SecurityWeek.

De acordo com a empresa, 99% do que saiu era dado de negócio: código de software ligado a alguns produtos. O 1% restante eram dados pessoais que tinham sido colocados nos repositórios por engano, contra a política interna. A Meta não disse que tipos de informação pessoal foram expostos.

Como foi o ataque

A intrusão foi detectada há algumas semanas. A equipe de segurança da Meta cortou o acesso dos invasores e chamou o GitHub e as autoridades. Pela investigação feita até agora com o GitHub, a empresa não acredita que o grupo estivesse atrás dos dados da Meta em particular.

“Não foi uma vulnerabilidade em nenhum produto da Meta, e os sistemas internos da Meta não foram invadidos”, disse um porta-voz à SecurityWeek, em tradução livre. Segundo ele, os dados da empresa guardados num repositório do GitHub foram acessados indevidamente com a credencial roubada de um funcionário.

A empresa acrescentou que boa parte do que parecia dado pessoal era, na verdade, dado de teste sintético ou anonimizado. Por isso, quem levou o material pode não conseguir separar os registros verdadeiros dos de teste.

O que a Meta fez depois

A Meta trocou os segredos (senhas, tokens e chaves) que encontrou nos repositórios afetados e reforçou a segurança dos produtos ligados ao código que vazou. Também está criando controles para impedir que dados de usuários voltem a parar no GitHub e, como segunda linha de defesa, uma varredura que procura dado pessoal enviado por engano.

As pessoas afetadas estão recebendo serviços de monitoramento de crédito e da dark web, e os órgãos reguladores estão sendo notificados, segundo a SecurityWeek.

Não é o primeiro caso do tipo, lembra o Tecnoblog. Em 2022, o Dropbox confirmou o roubo de 130 repositórios privados no GitHub depois de um phishing que imitava a CircleCI. Em 2023, trechos do código do Twitter foram publicados no GitHub, e a empresa pediu a retirada por violação de direitos autorais.

O que muda para quem guarda código no GitHub

O caso junta dois erros que qualquer equipe pode cometer: uma credencial de funcionário que vaza e um dado que nunca deveria ter entrado no repositório. O segundo é o que mais pega desprevenido, porque apagar o arquivo no commit seguinte não tira o conteúdo do histórico.

A própria documentação do GitHub põe a ordem certa: quando o que vazou é um segredo, o primeiro passo é revogar ou trocar a credencial. Reescrever o histórico vem depois, e nem sempre é necessário.

Na prática, a lição da Meta vale para equipe de qualquer tamanho: credencial com validade curta, varredura de segredos ligada nos repositórios e o hábito de conferir o que está indo no commit antes do push.

Fontes: Tecnoblog, SecurityWeek, GitHub Docs

Produzido com auxílio de IA e revisado pela redação.