Meta confirma roubo de código e dados pessoais no GitHub

A Meta confirmou o roubo de código e dados pessoais de cerca de 1.500 pessoas, principalmente funcionários nos Estados Unidos. Invasores usaram credenciais roubadas de um funcionário para acessar repositórios da companhia no GitHub.

A empresa afirma que não houve invasão de sistemas internos nem exploração de vulnerabilidades em seus produtos.

O que foi exposto no vazamento?

Segundo a SecurityWeek, os alertas aos afetados começaram nesta terça-feira (13). A Meta afirma que 99% do material retirado era código empresarial e 1% eram dados pessoais que foram armazenados por engano nos repositórios, contrariando a política interna da companhia. Não foi divulgado quais categorias de informações privadas foram expostas.

A empresa bloqueou o acesso dos invasores, acionou autoridades e renovou credenciais encontradas nos repositórios, além de realizar varreduras para identificar os dados armazenados indevidamente e oferecer suporte aos afetados.

Por que apagar um arquivo não basta?

O GitHub é uma plataforma de hospedagem e gerenciamento de código. Os projetos ficam organizados em repositórios, que podem ter acesso público ou privado. Esses ambientes preservam o histórico de alterações dos arquivos, permitindo acompanhar versões e colaborar no desenvolvimento de software.

Na documentação oficial de segurança, o GitHub alerta que credenciais podem se espalhar por cópias dos repositórios e até sistemas de backup, dificultando a remoção completa das informações expostas.

Por isso, apagar um arquivo da versão mais recente não basta para resolver uma exposição. O conteúdo pode continuar acessível. Se uma credencial for comprometida, é necessário trocá-la para impedir novos acessos. A plataforma oferece ferramentas para detectar credenciais nos repositórios, mas a proteção pode exigir configurações extras.

Dropbox e Twitter também tiveram código exposto

Em 2022, o Dropbox confirmou o roubo de 130 repositórios privados no GitHub após um ataque de phishing. Os invasores enviaram mensagens que se passavam pela CircleCI, plataforma usada pelos desenvolvedores da empresa, e induziram um funcionário a fornecer informações de autenticação em uma página falsa. O material roubado incluía protótipos e ferramentas internas. Segundo o Dropbox, os arquivos e as senhas dos usuários não foram comprometidos.

Já em 2023, trechos do código do Twitter foram publicados no GitHub. A rede social solicitou a retirada por violação de direitos autorais e buscou identificar o responsável.

Meta confirma roubo de código e dados pessoais no GitHub