Meta подтвердила кражу кода и личных данных, затронув примерно 1500 человек, большинство из которых являются сотрудниками, находящимися в США. Злоумышленники получили доступ к репозиториям компании на платформе GitHub, используя учетные данные, полученные от одного из сотрудников.
Компания заверила, что взлом ее внутренних систем не произошел, и не было использовано уязвимостей в ее продуктах. По данным SecurityWeek, уведомления были отправлены пострадавшим во вторник, 13-го числа.
Meta сообщила, что 99% извлеченного материала представляло собой корпоративный код, а всего 1% составляли личные данные, которые были непреднамеренно сохранены в репозиториях, что противоречило внутренним директивам компании. Хотя не было указано, какие типы личной информации были раскрыты, компания приняла незамедлительные меры.
Для сдерживания ситуации компания заблокировала доступ злоумышленников, уведомила соответствующие органы и провела обновление учетных данных, обнаруженных в репозиториях. Кроме того, были проведены сканирования для поиска некорректно хранящихся данных и предоставлена поддержка затронутым сотрудникам.
GitHub функционирует как платформа для хостинга и управления кодом, где проекты структурируются в репозиториях, которые могут быть публичными или частными. Эти среды сохраняют историческую запись изменений файлов, облегчая отслеживание версий и сотрудничество в разработке программного обеспечения.
Официальная документация безопасности GitHub предупреждает, что учетные данные могут распространяться через копии репозиториев и даже системы резервного копирования, что усложняет полное удаление раскрытой информации. По этой причине простое удаление файла из последней версии не решает проблему раскрытия, поскольку контент может оставаться доступным. Если учетные данные скомпрометированы, крайне важно их сменить, чтобы предотвратить новый доступ. Платформа предоставляет инструменты для обнаружения учетных данных в репозиториях, но эффективная защита может потребовать дополнительных настроек.
Предыдущие случаи иллюстрируют схожие риски: в 2022 году Dropbox подтвердил кражу 130 частных репозиториев в GitHub после фишинговой атаки. Злоумышленники имитировали сообщения от CircleCI, инструмента, используемого разработчиками Dropbox, побудив сотрудника предоставить свои учетные данные на поддельной странице. Украденный материал включал прототипы и внутренние инструменты, хотя Dropbox заявил, что файлы и пароли пользователей не были скомпрометированы.
Кроме того, в 2023 году фрагменты кода Twitter были опубликованы в GitHub, что побудило социальную сеть потребовать удаления материала в связи с нарушением авторских прав и начать поиск виновного.