Por Canuto  

Hackers usaron credenciales robadas de un empleado para acceder a repositorios de GitHub de Meta. La compañía afirma que cerca del 99% de lo sustraído era código y que los datos personales de unas 1.500 personas llegaron allí por error.
***

  • Meta dijo que los atacantes ingresaron a algunos repositorios de GitHub mediante credenciales robadas de un empleado.
  • La empresa estima que los datos personales fueron cerca del 1% de lo sustraído y que correspondían a unas 1.500 personas.
  • Meta rotó secretos, añadió controles preventivos y ofrece monitoreo de crédito y de la dark web a las personas afectadas.

Meta confirma robo de código y datos personales de 1.500 personas tras intrusión en GitHub

Acceso a repositorios mediante credenciales robadas

Un grupo externo accedió a algunos repositorios de GitHub de Meta y obtuvo código de software junto con información personal de unas 1.500 personas, según reportó SecurityWeek. La mayoría de las personas afectadas son empleados de la compañía en Estados Unidos, que ya comenzó a recibir notificaciones. Meta atribuyó el ingreso a credenciales robadas de un empleado, aunque no identificó a los atacantes ni explicó cómo consiguieron esos datos de acceso.

La compañía afirmó que detectó la intrusión unas semanas antes de que comenzaran las notificaciones y que, una vez identificada, cortó el acceso de los atacantes. También involucró a GitHub y a las autoridades, mientras sus equipos investigaban lo ocurrido. Las notificaciones a las personas afectadas empezaron el martes 13 de octubre, de acuerdo con el reporte publicado por SecurityWeek.

Meta enfatizó que el incidente no se originó en una vulnerabilidad de sus productos ni implicó una intrusión en sus sistemas internos. Un portavoz declaró a SecurityWeek: “Esto no fue una vulnerabilidad en ningún producto de Meta, y los sistemas internos de Meta no fueron vulnerados”. La precisión delimita lo que la compañía reconoce: el acceso afectó repositorios alojados en GitHub, pero Meta no describe el episodio como una brecha en sus plataformas o infraestructura interna.

La distinción entre un repositorio de desarrollo y un producto disponible al público es relevante para comprender el alcance comunicado. El código sustraído corresponde a algunos productos de Meta, pero la empresa no señaló cuáles ni detalló qué partes específicas quedaron expuestas. Tampoco informó si los atacantes publicaron, distribuyeron o utilizaron el material; el reporte se limita a indicar que lograron acceder a los repositorios y llevarse información.

Qué información quedó expuesta

Meta calculó que los datos de negocio representaban cerca del 99% de lo que los atacantes obtuvieron, mientras que la información personal constituía el 1% restante. La mayor parte del material, por tanto, era código de software asociado con algunos productos de la empresa. La compañía no divulgó una cifra sobre el volumen de código ni especificó qué repositorios contenían los archivos sustraídos.

La información personal no debía encontrarse en esos repositorios, de acuerdo con Meta. Alguien la agregó allí por error, y almacenarla en GitHub incumplía las políticas internas de la empresa. Meta no precisó qué tipos de datos personales estuvieron involucrados, por lo que no hay base en el reporte para afirmar que se expusieron identificadores, datos financieros u otras categorías concretas.

La compañía añadió que una parte significativa de lo que parecía información personal correspondía a datos de prueba sintéticos o anonimizados. Esos registros se utilizan como material de prueba, pero el reporte no explica qué proporción exacta tenían ni cómo se distinguían de los datos reales. Meta advirtió, además, que los atacantes podrían no identificar fácilmente cuáles registros eran auténticos y cuáles se habían creado o anonimizado para pruebas.

Según la investigación que llevaba adelante junto con GitHub, Meta no creía que los atacantes buscaran específicamente sus datos personales. Esa valoración no equivale a una conclusión definitiva sobre las motivaciones del grupo, porque la compañía no las confirmó ni reveló quién estaba detrás del acceso. Sí permite distinguir entre la naturaleza del incidente descrito y una operación dirigida expresamente a recopilar la información personal de las personas afectadas.

Respuesta y controles anunciados por Meta

Meta dijo que rotó los secretos que encontró en los repositorios afectados, una medida destinada a reemplazar credenciales o elementos sensibles que ya no debían considerarse seguros. También aseguró que implementó nuevos controles para impedir que los datos de usuarios se almacenen en GitHub. La empresa no detalló qué secretos detectó ni describió las herramientas específicas que empleó para efectuar esos cambios.

La compañía indicó que trabaja con los equipos que utilizan GitHub para mantener los datos de usuarios fuera de esa plataforma. También está incorporando un escaneo proactivo que permita detectar información de usuarios si alguien la sube por error. En su declaración, el portavoz afirmó que Meta había aplicado controles nuevos y colaboraba con GitHub en medidas adicionales para proteger sus repositorios.

Para las personas afectadas, Meta ofrece monitoreo de crédito y de la dark web, además de enviar notificaciones a los reguladores. La compañía no explicó en el reporte cuánto durará esa asistencia ni qué reguladores recibieron avisos.

La información disponible deja preguntas abiertas sobre el tipo concreto de datos personales involucrados, el alcance del código sustraído y la identidad de los atacantes. Meta tampoco indicó si encontró evidencia de que la información se hubiera difundido o utilizado después del acceso. Por ahora, la empresa sostiene que el incidente se limitó a repositorios de GitHub, describe los datos personales como una fracción pequeña del material y comunica medidas para evitar nuevas cargas accidentales.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados