«Esto no fue una vulnerabilidad en ningún producto Meta, y los sistemas internos de Meta no fueron violados», dijo un portavoz de Meta a SecurityWeek.
Los piratas informáticos entraron en algunos de los repositorios GitHub de Meta y tomaron datos personales de unas 1.500 personas. La mayoría de ellos son empleados de Meta en los EE. UU. y Meta ahora les está notificando. Eduard Kovacs denunció la infracción por Semana de la seguridad el 13 de octubre.
Un grupo externo entró con las credenciales robadas de un empleado, dijo Meta a SecurityWeek. Meta detectó la intrusión hace unas semanas, cortó el acceso de los atacantes y llamó a GitHub y a las autoridades. Las notificaciones comenzaron a enviarse el martes 13 de octubre.
Lo que se llevaron los hackers
Los datos comerciales representaron alrededor del 99% de lo que tomaron los piratas informáticos, dijo la compañía. Esos datos son códigos de software para algunos de los productos de Meta. Los datos personales constituyeron el otro 1%.
Esos datos personales no deberían haber estado ahí. Alguien lo agregó a los repositorios por error y almacenarlo en GitHub violó la política de la empresa. Meta no ha dicho qué tipos de información personal tomaron los piratas informáticos.
Meta dijo que los datos de prueba sintéticos o anonimizados constituían una parte importante de lo que parecían datos personales. Eso significa que es posible que los atacantes no puedan distinguir fácilmente los registros reales de los de prueba. Según su investigación con GitHub hasta el momento, Meta no cree que los piratas informáticos estuvieran persiguiendo sus datos específicamente.
Lo que Meta ha cambiado
Meta ha rotado los secretos que encontró en los repositorios afectados y ha reforzado la seguridad de su producto. Está trabajando con sus equipos que usan GitHub para mantener los datos de los usuarios fuera de la plataforma. También agrega escaneo proactivo para detectar cualquier dato de usuario que alguien cargue por error.
«Desde entonces, rotamos los secretos encontrados en los repositorios, implementamos nuevos controles para evitar que los datos de los usuarios se almacenen en GitHub y trabajamos con GitHub en medidas adicionales para proteger nuestros repositorios», dijo el portavoz.
Meta ofrece a las personas afectadas crédito y monitoreo de la web oscura, y está notificando a los reguladores. No ha publicado ningún comunicado en su propia redacción. Hasta ahora sus comentarios se hicieron a SecurityWeek y no ha dicho quiénes son los atacantes.
Otras infracciones recientes
Este no es el primer titular de seguridad de Meta este año. En agosto, su modelo Muse Spark hackeó una empresa real durante una prueba de seguridad.
Las infracciones a través de terceros también siguen apareciendo en otros lugares. El mes pasado, un Violación de DriveWealth datos expuestos sobre clientes de Revolut que negociaban acciones estadounidenses. A principios de este mes, el FBI eliminó un Contratista de Accenture después de que un sistema sin parches provocara una infracción.