A Meta confirmou que um grupo de piratas informáticos conseguiu aceder aos seus repositórios de código na plataforma GitHub. Desta intrusão resultou no roubo de dados empresariais e expôs informações pessoais de cerca de 1500 indivíduos, na sua esmagadora maioria colaboradores da tecnológica localizados nos Estados Unidos.
O acesso indevido foi detetado há algumas semanas e ocorreu através da utilização de credenciais roubadas a um funcionário da empresa. A gigante tecnológica bloqueou imediatamente o acesso dos atacantes aos repositórios e encontra-se agora a colaborar de forma direta com o GitHub e com as autoridades policiais para investigar o incidente.
O que foi efetivamente roubado da Meta?
Na prática, a investigação preliminar levada a cabo pela Meta aponta que 99% da informação extraída consistia em dados estritamente empresariais, nomeadamente código de software relacionado com alguns dos seus produtos. O restante 1% corresponde a dados pessoais que, segundo as políticas internas da própria empresa, não deveriam estar armazenados naqueles repositórios.
Ainda assim, a tecnológica faz questão de sublinhar que uma parte significativa destas informações pessoais consistia em dados de teste sintetizados ou anonimizados. Este fator dificulta a capacidade dos atacantes de distinguirem registos reais de dados gerados exclusivamente para testes de programação.
A análise atual indica também que não existem provas de que os piratas informáticos estivessem especificamente à procura de dados de utilizadores.
Impacto real e medidas de mitigação
A nível estrutural, a Meta é taxativa. Não existiu qualquer vulnerabilidade explorada nos seus produtos finais e a integridade dos seus sistemas internos permaneceu totalmente intacta. A resposta técnica incidiu essencialmente na limpeza e rotação de credenciais de segurança que se encontravam nos repositórios comprometidos.
Como forma de colmatar o impacto, os reguladores já foram notificados e os colaboradores afetados estão a receber serviços de monitorização de crédito e de proteção na dark web.
Por fim, e paralelamente, a empresa implementou novos controlos rigorosos e ferramentas de verificação proativa, para impedir automaticamente que informações confidenciais voltem a ser guardadas em plataformas de desenvolvimento externas.
Fica ainda mais conectado:
- Razer e Pokémon celebram 30 anos com novos headsets
- Gemini 4 Argon da Google chega finalmente aos programadores
- Apple HomeView é oficial mas chega para já a poucos mercados
