Meta confirma roubo de código e dados pessoais no GitHub

O que aconteceu

A Meta confirmou que invasores acessaram repositórios da empresa no GitHub, plataforma de hospedagem de código, e roubaram código-fonte de produtos e dados pessoais de cerca de 1.500 pessoas. Segundo a empresa, o ataque usou credenciais roubadas de um funcionário para entrar nos repositórios.

A Meta diz que cerca de 99% do material roubado era código de software ligado a produtos da empresa. O 1% restante era informação pessoal, que teria sido armazenada nos repositórios por engano, em violação às políticas internas da companhia. A empresa não detalhou publicamente quais tipos de dados pessoais estavam entre o material exposto.

Ao identificar a invasão, a Meta afirma ter cortado o acesso dos atacantes, acionado o GitHub e as autoridades, e rotacionado segredos (como chaves de API, tokens de acesso e senhas) encontrados nos repositórios afetados. A empresa afirma que não houve invasão de seus sistemas internos nem exploração de falhas em seus produtos.

Quem é afetado

As notificações começaram a ser enviadas em 13 de outubro. Segundo a Meta, a maioria das pessoas avisadas são funcionários baseados nos Estados Unidos, embora alguns não funcionários também estejam na lista de afetados.

O que fazer agora

Para quem foi notificado pela Meta ou trabalha na empresa, veio o seguinte retorno da companhia:

A Meta diz oferecer monitoramento de crédito e monitoramento de dark web às pessoas cujos dados pessoais foram envolvidos no incidente;
A empresa afirma ter rotacionado as credenciais encontradas nos repositórios comprometidos, o que reduz o risco de uso indevido desses acessos;
Segundo a Meta, parte dos registros que pareciam dados pessoais eram, na verdade, informações sintéticas ou anonimizadas usadas em testes, o que dificultaria para os invasores separar dados reais de falsos;
Quem recebeu notificação da Meta deve acompanhar os canais oficiais de comunicação da empresa para instruções específicas sobre o próprio caso, já que a companhia não divulgou publicamente quais categorias exatas de dados pessoais foram expostas.

Até a publicação, a Meta não informou se outros usuários da plataforma, fora do quadro de funcionários e colaboradores citados, foram afetados pelo incidente.