Meta ha notificado la exposición de los datos personales de unas 1.500 personas, en su mayoría empleados en Estados Unidos, tras el acceso de un grupo externo de ciberdelincuentes a sus repositorios de GitHub.
La compañía, en declaraciones al medio SecurityWeek, ha explicado que detectó la intrusión hace unas semanas y que los atacantes accedieron a los repositorios de GitHub con las credenciales sustraídas de un empleado.
“No se trató de una vulnerabilidad en ningún producto de Meta, y los sistemas internos de Meta no se vieron comprometidos”, ha asegurado un portavoz de la tecnológica al medio especializado en ciberseguridad.
Así, el equipo de seguridad de Meta bloqueó el acceso que habían usado los atacantes y solicitó la intervención de GitHub y las fuerzas del orden para, a continuación, alertar a las personas afectadas de la sustracción de sus datos personales, un proceso que comenzó este martes.
Asimismo, la compañía ha declarado que lo está notificando a los reguladores y ofrece a los afectados por el robo servicios de monitorización de crédito y de la ‘dark web’.
En lo concerniente al contenido de los datos expuestos, Meta asegura que el 99 por ciento corresponde a datos empresariales, en forma de código relacionado con algunos de sus productos. Es decir, que solo un 1 por ciento eran datos personales, que se habían subido por error a los repositorios en contra de la política de la tecnológica.
Además, como una porción significativa de ellos eran datos de prueba sintéticos o anonimizados, podría dificultar que los atacantes distingan los registros reales de los de pruebas. Lo que no ha aclarado Meta es qué tipo de datos personales sí se han visto afectados, aunque no cree que los atacantes buscaran específicamente sus datos.
En respuesta al incidente, Meta ha tomado medidas que van desde la rotación de claves y secretos expuestos en los repositorios afectados hasta la implementación de nuevos controles de escaneo proactivo para detectar datos de usuarios subidos por error a GitHub.
