A Meta admitiu recentemente que cibercriminosos conseguiram extrair dados pessoais e códigos corporativos de aproximadamente 1.500 indivíduos, a maioria trabalhadores baseados nos Estados Unidos. O vetor do ataque envolveu o uso de credenciais furtadas de um colaborador, o que permitiu o acesso não autorizado aos repositorios da companhia hospedados no GitHub.

Garantias da empresa sobre os sistemas internos

Apesar da brecha de segurança, a organização sustentou que nenhum ambiente interno foi invadido e que não houve qualquer exploração de falhas em seus softwares ou serviços digitais.

Detalhes sobre o material levado na invasão

De acordo com informações divulgadas pela SecurityWeek, os avisos formais aos indivíduos atingidos foram disparados em uma terça-feira (13). Do volume total de dados extraídos, 99% correspondiam a códigos de programação da organização, enquanto o 1% restante consistia em registros de caráter privado que acabaram salvos de forma incorreta nos repositórios, desrespeitando as diretrizes internas da companhia. Detalhes específicos sobre a natureza das informações privadas vazadas não foram tornados públicos.

Como a companhia reagiu ao incidente

Para conter a brecha, a empresa suspendeu imediatamente a entrada dos invasores, comunicou o ocorrido às autoridades competentes e substituiu todas as chaves de acesso localizadas nos diretórios. Adicionalmente, equipes realizaram auditorias para rastrear conteúdos salvos incorretamente e passou a prestar assistência aos prejudicados.

O funcionamento dos repositórios e o desafio da exclusão

O GitHub atua como um sistema para armazenamento e controle de versões de códigos. Os trabalhos são dispostos em repositórios, que podem ter visibilidade restrita ou aberta ao público, mantendo um registro completo de todas as alterações feitas, o que facilita o trabalho colaborativo entre programadores.

Manuais de segurança da própria plataforma indicam que chaves de acesso e senhas podem se propagar rapidamente por cópias de segurança e diferentes ramificações do projeto, tornando a eliminação definitiva um processo complexo.

Dessa forma, simplesmente deletar um arquivo da versão mais atual não garante a solução do problema, pois o conteúdo pode permanecer visível em históricos anteriores. Quando uma chave de segurança é vazada, a troca imediata torna-se obrigatória para barrar novas intrusões. Embora a ferramenta disponibilize recursos para identificar segredos expostos, a segurança total frequentemente demanda ajustes complementares.

Precedentes envolvendo outras grandes empresas de tecnologia

O episódio enfrentado pela dona do Facebook e do Instagram não é isolado no setor tecnológico. No ano de 2022, o Dropbox reportou a invasão de 129 repositórios privados em decorrência de um golpe de phishing. Na ocasião, golpistas simularam ser a CircleCI — ferramenta utilizada pelos engenheiros da firma —, enganando um colaborador para que ele inserisse dados de login em um site falso. O material levado abrangeu ferramentas de desenvolvimento e maquetes, embora a empresa tenha assegurado que senhas e arquivos finais dos clientes permaneceram intactos.

Em um caso similar ocorrido em 2023, partes do código-fonte do Twitter acabaram expostas na mesma plataforma de desenvolvimento. A rede social exigiu a remoção imediata do conteúdo sob alegação de pirataria e iniciou investigações para rastrear os culpados.