Meta comenzó este martes 13 de octubre a notificar a unas 1,500 personas por el robo de información personal alojada en algunos de sus repositorios de GitHub, según reportó SecurityWeek. La mayoría de las personas afectadas son empleados de la compañía en Estados Unidos; los atacantes también se llevaron código de algunos de sus productos.

🔒 La intrusión se detectó hace unas semanas y, según Meta, un grupo externo entró usando credenciales robadas de un empleado. Su equipo de seguridad cortó el acceso de los atacantes e involucró a GitHub y a las autoridades policiales. La empresa sostiene que no hubo una vulnerabilidad en sus productos ni una intrusión en sus sistemas internos.

📊 Meta explicó que el 99% de lo extraído eran datos del negocio, concretamente código de software relacionado con algunos de sus productos, y el 1% restante era información personal. Esos datos personales llegaron a los repositorios por error, en contra de sus políticas. La compañía no ha detallado qué tipos de información personal quedaron expuestos.

🧪 Una parte considerable de lo que parecía información personal era, según la empresa, información sintética o anonimizada utilizada en pruebas. Eso podría dificultar que los atacantes distingan los registros reales de los datos de prueba, pero no elimina la exposición reportada. Con lo investigado junto con GitHub hasta ahora, Meta no cree que el grupo estuviera buscando específicamente sus datos.

🛠️ Como respuesta, Meta rotó los secretos encontrados en los repositorios afectados y reforzó la seguridad de sus productos para atender los riesgos derivados del acceso a su código. También está notificando a los reguladores y ofrece a las personas afectadas servicios de monitoreo crediticio y de la dark web. Además, trabajó con GitHub en medidas adicionales para proteger sus repositorios.

¿Qué cambia para quienes trabajan con repositorios?

El incidente pone el foco en dos asuntos muy concretos: las credenciales que permiten entrar al código y la información que termina guardada junto a él. Meta está trabajando con sus equipos que usan GitHub para mantener los datos de usuarios fuera de la plataforma, e incorpora controles preventivos y escaneos proactivos para detectar los que se suban por error.

💬 ¿Tu equipo revisa que los datos usados en pruebas no incluyan información personal real antes de subirlos al repositorio?

¿Pero deveras? 🌵💚