A Meta confirmou recentemente o roubo de dados pessoais e códigos-fonte de aproximadamente 1.500 indivíduos, predominantemente colaboradores situados nos Estados Unidos. O incidente ocorreu após criminosos utilizarem credenciais furtadas de um trabalhador para invadir os repositórios da corporação hospedados na plataforma GitHub.
Detalhes do material vazado
Conforme apurado pelo portal SecurityWeek, os avisos aos indivíduos impactados foram disparados nesta terça-feira (13). A empresa detentora do Facebook e Instagram esclarece que 99% do volume extraído consistia em códigos corporativos, enquanto apenas 1% correspondia a informações privadas salvas de forma equivocada nos repositórios, desrespeitando as normas internas da organização. Detalhes específicos sobre quais categorias de dados confidenciais foram vazadas não foram tornados públicos.
Para conter a brecha, a companhia interrompeu imediatamente o acesso dos hackers, comunicou o ocorrido às autoridades competentes e substituiu chaves de acesso localizadas nos arquivos. Além disso, a organização executou varreduras para localizar registros mantidos de forma irregular e passou a disponibilizar assistência integral aos prejudicados.
O funcionamento dos repositórios no GitHub
O GitHub opera como um ambiente voltado para a hospedagem e o controle de softwares. Os trabalhos são estruturados em repositórios, que podem adotar visibilidade pública ou restrita. Tais espaços mantêm o registro histórico de modificações nos códigos, viabilizando o monitoramento de versões e o trabalho colaborativo.
A documentação de segurança do GitHub adverte que chaves de acesso podem se propagar rapidamente por meio de cópias de repositórios e rotinas de backup, tornando a eliminação integral dos dados violados um desafio complexo.
Por essa razão, simplesmente excluir um documento da edição mais recente não soluciona o problema de exposição. Os registros antigos podem permanecer acessíveis. Caso uma credencial seja violada, torna-se obrigatória a sua substituição imediata para bloquear novas intrusões. Embora a ferramenta possua recursos nativos para identificar senhas expostas, a segurança total frequentemente demanda ajustes complementares.
Precedentes na indústria de tecnologia
O incidente com a dona do WhatsApp não é isolado no setor de tecnologia. Em 2022, o Dropbox admitiu a subtração de 130 repositórios privados na mesma plataforma de código após sofrer uma campanha de phishing. Na ocasião, os invasores simularam ser a CircleCI — ferramenta empregada pelos programadores da empresa — e convenceram um colaborador a inserir dados de login em um site falso. O material levado continha ferramentas proprietárias e protótipos, embora a empresa tenha assegurado que senhas finais de clientes e arquivos de usuários não foram afetados.
Outro caso ocorreu em 2023, quando trechos do código-fonte do Twitter acabaram publicados na mesma plataforma de desenvolvimento. Na época, a rede social exigiu a remoção do conteúdo sob alegação de infração de direitos autorais e iniciou investigações para rastrear o autor do vazamento.
