Meta envoie des notifications à environ 1 500 personnes après un accès non autorisé aux dépôts GitHub. L’entreprise confirme que les attaquants ont utilisé des identifiants d’accès dérobés à un employé. Parmi les données conservées sur la plateforme développeur de GitHub figurent le code source et des informations personnelles téléchargées par erreur. La majorité des personnes touchées sont des employés de Meta basés aux États-Unis. Toutefois, la déclaration ne précise pas s’il existe une vulnérabilité dans les produits Meta ou si les systèmes internes de l’entreprise ont été pénétrés.
Meta déclare avoir détecté la violation il y a quelques semaines et avoir coupé l’accès des attaquants. Par ailleurs, l’entreprise mène l’enquête avec GitHub et implique les forces de l’ordre dans le processus. Les notifications aux personnes affectées ont commencé le 13 octobre. Meta informe également les autorités de régulation concernées.
Selon la répartition fournie par l’entreprise, 99 % des données obtenues sont des données commerciales, principalement des codes logiciels liés aux produits. D’un autre côté, 1 % sont des informations personnelles, et ces pourcentages ne précisent ni le nombre de personnes touchées ni la taille totale des fichiers téléchargés. Environ 1 500 personnes et 1 % décrivent deux métriques distinctes.
Meta indique que les informations personnelles présentes dans les dépôts ont été téléchargées par erreur, contrairement aux règles de l’entreprise. En outre, il explique qu’une part importante des enregistrements qui semblent être des données personnelles est constituée de données de test synthétiques ou anonymisées. L’entreprise ne précise pas quelles catégories d’informations personnelles ont été affectées et offre aux personnes touchées des services de surveillance du crédit et de partage illégal de données.
Les informations d’accès dans les dépôts sources doivent être protégées séparément du code
Meta indique avoir renouvelé les informations d’accès secrets trouvées dans les dépôts affectés et avoir ajouté des contrôles qui empêchent le chargement accidentel de données personnelles. Ici, les informations d’accès ne doivent pas nécessairement être identiques au mot de passe de connexion d’un seul employé. D’autres clés associées à des services présents dans le code source représentent aussi des risques distincts.
Le dépistage des secrets de GitHub recherche les informations écrites dans le code telles que les clés API, les mots de passe et les jetons d’accès. Le système n’examine pas seulement les fichiers actuels, il balaie l’historique de toutes les branches du dépôt. De plus, lorsque de nouveaux types de secrets sont ajoutés, les dépôts sont relancés pour vérification. Ainsi, des informations retirées d’un fichier mais présentes dans d’anciennes versions entrent également dans l’évaluation.
GitHub recommande de mettre à jour ou de révoquer les informations d’accès concernées afin de limiter la fuite. L’étape de renouvellement annoncée par Meta vise également à réduire ce type de risque d’accès. Cependant, les informations rendues publiques ne démontrent pas comment les attaquants ont obtenu les identifiants de l’employé. Pour comprendre l’ampleur de l’incident, il faut évaluer séparément l’accès vérifié au dépôt et les méthodes d’attaque non divulguées.
