אירוע חריג במטא: פרטים אישיים נחשפו בעקבות חדירה למאגרים

חברת מטא החלה לעדכן כ־1,500 בני אדם, רובם עובדי החברה בארצות הברית, בעקבות גישה בלתי מורשית למאגרי הקוד שלה ב־GitHub. לפי הדיווחים, עיקר המידע שנחשף כלל קוד תוכנה עסקי, לצד כמות מצומצמת של נתונים אישיים שהועלו למאגרים בטעות ובניגוד למדיניות החברה.

החדירה התגלתה כמה שבועות לפני שהחברה החלה לעדכן את הנפגעים. התוקפים, כך נמסר, השתמשו בפרטי הזדהות גנובים של עובד כדי לקבל גישה למאגרים פרטיים של מטא בשירות GitHub, המשמש מפתחים לאחסון ולניהול קוד תוכנה.

במטא מסבירים כי כ־99% מהמידע שהועתק במסגרת האירוע היה חומר עסקי, בעיקר קוד תוכנה הקשור לחלק ממוצרי החברה. יתרת המידע, כ־1%, כללה נתונים אישיים. החברה לא פירטה אילו פרטים אישיים נחשפו, אך ציינה כי חלק משמעותי מהמידע שנראה אישי היה למעשה נתוני בדיקה מלאכותיים או נתונים שעברו אנונימיזציה.

מבדיקת האירוע עולה כי הנתונים האישיים הגיעו למאגרי הפיתוח בעקבות טעות, בניגוד לנהלים הפנימיים של החברה. המדיניות של מטא אוסרת על שמירת מידע אישי של משתמשים בפלטפורמות מסוג זה. לפי החברה, מהבדיקה שערכה בשיתוף GitHub לא עלה שהתוקפים כיוונו במיוחד למידע שלה, אלא שהגישה למאגרים אפשרה להם לסרוק את הקוד שנשמר בהם.

ממטא נמסר בתגובה ל-SecurityWeek כי "לא מדובר בפגיעות באף אחד ממוצרי מטא והמערכות הפנימיות לא נפרצו. התבצעה גישה לא תקינה למידע עסקי במאגר GitHub באמצעות פרטי עובד גנובים, שכלל כמות קטנה של מידע אישי עבור מספר מוגבל של אנשים, רובם עובדי החברה".

בעקבות החדירה פעלה החברה לחסום את גישת התוקפים, החליפה מפתחות וסודות גישה שנמצאו במאגרים וחיזקה את מנגנוני האבטחה. נוסף על כך, מטא משתפת פעולה עם GitHub ורשויות אכיפת החוק, ומדווחת על האירוע לרשויות הרלוונטיות להגנת הפרטיות.

כחלק מהטיפול בפרשה, מציעה החברה לאנשים שפרטיהם הושפעו שירותי ניטור אשראי ומעקב אחר מידע אישי שעלול להופיע ברשת האפלה. במקביל, היא מטמיעה אמצעי סריקה אוטומטיים שנועדו לזהות ולמנוע העלאה מקרית של מידע אישי למאגרי הפיתוח בעתיד.