Meta ने पुष्टि की है कि कोड और व्यक्तिगत डेटा की चोरी हुई है जिससे लगभग 1,500 व्यक्ति प्रभावित हुए हैं, जिनमें से अधिकांश संयुक्त राज्य अमेरिका में स्थित कर्मचारी हैं। हमलावरों ने एक कर्मचारी से प्राप्त क्रेडेंशियल्स का उपयोग करके GitHub प्लेटफॉर्म पर कंपनी के रिपॉजिटरी तक पहुंच प्राप्त कर ली थी।
कंपनी ने आश्वासन दिया कि उसके आंतरिक सिस्टम में कोई घुसपैठ नहीं हुई है, न ही उसके उत्पादों में सुरक्षा खामियों का फायदा उठाया गया है। SecurityWeek के अनुसार, प्रभावित लोगों को मंगलवार, 13 तारीख को सूचनाएं भेजी गईं।
Meta ने सूचित किया कि निकाले गए सामग्री का 99% कॉर्पोरेट कोड था, जबकि केवल 1% व्यक्तिगत डेटा था जिसे गलती से रिपॉजिटरी में संग्रहीत किया गया था, जो कंपनी के आंतरिक दिशानिर्देशों के विपरीत था। हालांकि यह निर्दिष्ट नहीं किया गया कि किस प्रकार की निजी जानकारी उजागर हुई थी, कंपनी ने तत्काल कदम उठाए।
स्थिति को नियंत्रित करने के लिए, कंपनी ने हमलावरों की पहुंच को अवरुद्ध कर दिया, संबंधित अधिकारियों को सूचित किया और रिपॉजिटरी में पाए गए क्रेडेंशियल्स को नवीनीकृत किया। इसके अलावा, गलत तरीके से संग्रहीत डेटा का पता लगाने के लिए स्कैन किए गए और प्रभावित कर्मचारियों को सहायता प्रदान की गई।
GitHub कोड होस्टिंग और प्रबंधन के लिए एक प्लेटफॉर्म के रूप में कार्य करता है, जहां परियोजनाओं को रिपॉजिटरी में संरचित किया जाता है जो सार्वजनिक या निजी हो सकते हैं। ये वातावरण फ़ाइलों में संशोधनों का ऐतिहासिक रिकॉर्ड रखते हैं, जिससे संस्करणों को ट्रैक करना और सॉफ्टवेयर विकास में सहयोग करना आसान हो जाता है।
GitHub के आधिकारिक सुरक्षा दस्तावेज़ीकरण में चेतावनी दी गई है कि क्रेडेंशियल्स रिपॉजिटरी की कॉपी और यहां तक कि बैकअप सिस्टम के माध्यम से भी फैल सकते हैं, जिससे उजागर जानकारी को पूरी तरह से हटाना जटिल हो जाता है। इस कारण से, नवीनतम संस्करण से फ़ाइल को हटाना जोखिम को हल नहीं करता है, क्योंकि सामग्री सुलभ बनी रह सकती है। यदि किसी क्रेडेंशियल से समझौता किया जाता है, तो नए एक्सेस को रोकने के लिए इसे बदलना अनिवार्य है। प्लेटफॉर्म रिपॉजिटरी में क्रेडेंशियल्स का पता लगाने के लिए संसाधन प्रदान करता है, लेकिन प्रभावी सुरक्षा के लिए अतिरिक्त कॉन्फ़िगरेशन की आवश्यकता हो सकती है।
पिछले मामले समान जोखिमों को दर्शाते हैं: 2022 में, Dropbox ने फ़िशिंग हमले के बाद GitHub पर 130 निजी रिपॉजिटरी की चोरी की पुष्टि की। हमलावरों ने CircleCI संदेशों का अनुकरण किया, जिसका उपयोग Dropbox के डेवलपर्स करते थे, जिससे एक कर्मचारी ने एक फर्जी पेज पर अपने क्रेडेंशियल्स प्रदान किए। चुराया गया मटेरियल प्रोटोटाइप और आंतरिक उपकरण शामिल थे, हालांकि Dropbox ने कहा कि उपयोगकर्ता फ़ाइलें और पासवर्ड से समझौता नहीं किया गया था।
इसके अतिरिक्त, 2023 में, ट्विटर के कोड के अंश GitHub पर प्रकाशित हुए, जिसके कारण सोशल मीडिया नेटवर्क ने कॉपीराइट उल्लंघन के कारण सामग्री हटाने का अनुरोध किया और जिम्मेदार व्यक्ति की तलाश शुरू की।