Meta confirma roubo de código e dados pessoais de cerca de 1.500 pessoas em repositórios do GitHub
A Meta confirmou que invasores usaram credenciais roubadas de um funcionário para acessar repositórios no GitHub. Cerca de 99% do material era código corporativo e 1%, dados pessoais guardados por engano. Cerca de 1.500 pessoas foram afetadas, sobretudo funcionários nos EUA.
O que a Meta disse
| Ponto | O que foi informado | Fonte |
|---|---|---|
| Como o acesso ocorreu | Credenciais roubadas de um funcionário foram usadas para entrar em repositórios no GitHub | Tecnoblog e Cybernews |
| O que foi levado | ~99% código e dados de negócio; ~1% dados pessoais | Tecnoblog |
| Afetados | Cerca de 1.500 pessoas, principalmente funcionários nos EUA | Tecnoblog e Cybernews |
| Avisos | Começaram na terça-feira, 13/10 | Tecnoblog (via SecurityWeek) |
| Sistemas internos | Segundo a Meta, não foram invadidos e não houve falha em produtos | Meta, via Cybernews |
| Tipos de dados pessoais | Não divulgados | Tecnoblog e Cybernews |
A Meta afirma que os dados pessoais estavam nos repositórios por engano, contra a política interna, que proíbe guardar esse tipo de informação no GitHub. O Cybernews cita ainda que, segundo a empresa, uma parte relevante dessas informações seria sintética ou anonimizada, usada em testes, e que a investigação feita com o GitHub não encontrou indícios de que os invasores tenham mirado dados específicos da Meta. Esses pontos são declarações da empresa, sem verificação independente.
Resposta e proteção
- 🚫Acesso cortadoA Meta bloqueou os invasores e acionou o GitHub e as autoridades.
- 🔑Segredos renovadosAs credenciais encontradas nos repositórios foram trocadas.
- 🔍VarredurasA empresa diz que adicionou controles para detectar dados pessoais enviados por engano ao GitHub.
- 🛡️Suporte aos afetadosSegundo o Cybernews, há monitoramento de crédito e da dark web para os atingidos.
Por que credencial roubada é um problema tão comum
O caso não explora uma falha de software: depende de uma senha, token ou chave de acesso que caiu nas mãos erradas. O Tecnoblog lembra que, conforme a documentação do GitHub, credenciais podem se espalhar por cópias de repositórios e sistemas de backup, e apagar o arquivo da versão mais recente não resolve: o histórico preserva o conteúdo e a credencial precisa ser trocada. Casos parecidos são o do Dropbox, que em 2022 confirmou o roubo de 130 repositórios privados após phishing, e o do Twitter, com trechos de código publicados em 2023.
O que o usuário comum deve fazer
A Meta diz que os afetados são sobretudo funcionários, e a empresa nega falha em seus produtos. Mesmo assim, a lição serve para qualquer pessoa: use autenticação em duas etapas, de preferência com app ou chave física, evite reaproveitar senhas e desconfie de páginas de login pedidas por mensagem. No site, já explicamos as mudanças no login do WhatsApp, empresa do mesmo grupo, e o alerta sobre o malware Midnight Mimosa em Androids baratos. Outro vazamento recente com dados de brasileiros foi o da Ticketmaster.
A Meta aparece também na cobertura de hardware e IA do site, como no Muse Spark em código aberto e nos óculos de IA.
Perguntas rápidas
Quem foi afetado? Cerca de 1.500 pessoas, principalmente funcionários nos EUA. Contas do Facebook e do Instagram foram invadidas? A Meta diz que seus sistemas internos e produtos não foram afetados. Como foi o ataque? Com credenciais roubadas de um funcionário. Quais dados pessoais? A empresa não detalhou. Quem está por trás? Nenhuma das fontes que lemos nomeia o autor.