Meta taxminan 1500 kishi taʼsirlangan kod va shaxsiy maʼlumotlar oʻgʻirlanishi yuz berganini tasdiqladi, ularning aksariyati AQShdagi xodimlar hisoblanadi. Zarrachalar kompaniyaning GitHub platformasidagi omborlariga bir xodimdan olingan kimliklar yordamida kirishga erishgan.
Kompaniya oʻz ichki tizimlariga hech qanday singib kirilmaganligini, shuningdek, mahsulotlaridagi xavfsizlik kamchiliklari ekspluatatsiya qilinmaganligini taʼkidladi. SecurityWeek maʼlumotlariga koʻra, ogohlantirishlar seshanba kuni, yaʼni 13-sentabrda taʼsirlangan tomonlarga yuborilgan.
Meta eʼlon qilganicha, chiqarilgan materialning 99% korporativ koddan iborat boʻlgan, faqat 1% esa omborlarda notoʻgʻri saqlangan shaxsiy maʼlumotlardan iborat boʻlib, bu kompaniyaning ichki yoʻriqnomalariga zid keladi. Qaysi turdagi maxfiy maʼlumotlar oshkor qilingani aniqlanmasa-da, kompaniya darhol choralar koʻrdi.
Vaziyatni cheklash uchun kompaniya zarrachalarning kirishini blokladi, tegishli vakillarga xabar berdi va omborlarda topilgan kimliklarni yangilash jarayonini boshladi. Bundan tashqari, notoʻgʻri saqlangan maʼlumotlarni topish uchun skanerlashlar amalga oshirildi va taʼsirlangan hamkorlarga yordam taklif qilindi.
GitHub kodni joylashtirish va boshqarish platformasi sifatida ishlaydi, bunda loyihalar jamoat yoki maxfiy boʻlishi mumkin boʻlgan omborlarda tuziladi. Bu muhitlar fayllarning oʻzgarishlarining tarixiy yozuvini saqlaydi, bu esa versiyalarni kuzatish va dasturiy taʼminotni ishlab chiqishda hamkorlik qilishni osonlashtiradi.
GitHubning rasmiy xavfsizlik hujjatlari kimliklar nusxalari orqali va hatto zaxira tizimlari orqali tarqalishi mumkinligini ogohlantiradi, bu oshkor boʻlgan maʼlumotlarni toʻliq yoʻq qilishni murakkablashtiradi. Shu sababli, eng soʻnggi versiyadan faylni oʻchirish oshkorlikni hal qilmaydi, chunki kontent mavjud boʻlib qolishi mumkin. Agar kimlik buzilgan boʻlsa, yangi kirishlarni oldini olish uchun uni almashtirish majburiy hisoblanadi. Platforma omborlardagi kimliklarni aniqlash uchun resurslarni taqdim etadi, ammo samarali himoya qoʻshimcha sozlamalarni talab qilishi mumkin.
Oldingi holatlar shunga oʻxshash xatarlarni koʻrsatadi: 2022-yilda Dropbox GitHubdagi 130 ta maxfiy omborning oʻgʻirlanishini phishing hujumi natijasida tasdiqlagan. Zarrachalar Dropbox ishlab chiquvchilari tomonidan ishlatiladigan CircleCI vositasining xabarlarini taqlid qilib, bir xodimni firibgarlik sahifasida oʻz kimliklarini berishga majburlagan. Oʻgʻirlangan materialga prototiplar va ichki vositalar kirgan boʻlsa-da, Dropbox foydalanuvchi fayllari va parollari buzilmaganini taʼkidlagan.
Bundan tashqari, 2023-yilda Twitter kodining parchalari GitHubda joylashtirilgan, bu ijtimoiy tarmoqni mualliflik huquqlarini buzish sababli materialni olib tashlashni soʻrashga va masʼul shaxsni izlashni boshlashga majbur qildi.