Meta atravesó una brecha de seguridad en sus repositorios de GitHub que afectó a 1.500 personas, pero lo que más incomoda no es el ataque en sí: es que los datos personales que fueron sustraídos no debieron estar ahí en primer lugar, y que la empresa mantiene un silencio institucional que habla tan fuerte como cualquier comunicado.

Todo lo que se conoce hasta ahora proviene de la declaración de un portavoz de la compañía ante un medio especializado el 13 de octubre. Desde esa fecha, la web corporativa de Meta no ha publicado un solo comunicado oficial. No hubo nota de prensa, ni anuncio público, ni aparecimiento institucional. Solo esa declaración, y punto.

Un grupo externo logró acceder a varios repositorios de código utilizando credenciales robadas a un empleado de Meta. De todo lo que fue sustraído, el 99% corresponde a información de negocio, incluyendo código de producto. Solo el 1% corresponde a datos personales. La compañía no ha precisado de qué productos se trata ni qué tipo de datos fueron comprometidos.

El detalle que pone las cosas en perspectiva es este: esos datos personales que estaban en los repositorios de GitHub se encontraban ahí en contra de la política interna de Meta. Buena parte correspondían a datos sintéticos o anonimizados de pruebas, según detalló el portavoz. Sin embargo, el hecho de que estuvieran ahí habla de un problema de control interno que ninguna empresa del tamaño de Meta debería tener.

La ironía es difícil de ignorar. Si la política de la propia empresa prohíbe que datos de personas aparezcan en repositorios de código y ahí están, el problema deja de ser únicamente el atacante. El atacante solo encontró una puerta que alguien dejó abierta.

Meta inició el aviso directo a los afectados el mismo 13 de octubre. La mayoría corresponden a empleados de la compañía radicados en Estados Unidos. A cada uno se les ofrece monitoreo de crédito y vigilancia en la dark web como medida compensatoria.

La empresa también afirmó estar notificando a los reguladores correspondientes, aunque no precisó cuáles autoridades fueron contactadas. Tampoco ha aclarado cuántos de los 1.500 afectados no son trabajadores de Meta ni si algún usuario europeo se encuentra en la lista. Ninguna fuente oficial ha mencionado a la autoridad irlandesa de protección de datos, que es la entidad que supervisa a Meta en el Espacio Económico Europeo.

Ese vacío informativo es relevante. Si aparece un afectado europeo, la regulación del bloque comunitario obligaría a notificaciones y acciones que elevarían exponencialmente las consecuencias de la brecha, y Meta pasaría de una declaración informal a enfrentar procesos formales ante las autoridades.

Lo que tampoco se ha determinado es cuándo se produjo el acceso, cómo terminó la credencial del empleado en manos de terceros ni quién está detrás del ataque. El panorama sigue siendo de incertidumbre total sobre la magnitud temporal y geográfica real del incidente.

Meta sí detalló las medidas correctivas implementadas después del incidente, que incluyen:

• Rotación de credenciales en todos los repositorios afectados.
• Implementación de controles para impedir la subida de datos de usuarios a GitHub.
• Escaneo preventivo de cada subida de código al repositorio.
• Trabajo conjunto con la propia plataforma GitHub en reforzar la seguridad.

Las medidas suenan sólidas en papel, pero también tienen el sabor de una lista de tareas que se completa cuando ya ocurrió lo peor.

Es importante poner esto en contexto: las brechas más significativas de los últimos años no han venido de fallos técnicos sofisticados ni de vulnerabilidades de película, sino de algo mucho más básico: una credencial robada y una puerta que alguien dejó sin cerrar. La plataforma GitHub se ha convertido en un objetivo recurrente para atacantes, algo que ya quedó demostrado cuando el gusano Miasma se infiltró en 73 repositorios de Microsoft.

Meta ha sido cuidadosa en su elección de palabras. Afirma que los sistemas internos de la empresa no fueron vulnerados, argumento defendible si se considera que GitHub opera como un servicio externo. Sin embargo, el resultado práctico es idéntico: alguien se llevó código y datos de 1.500 personas que estaban bajo la responsabilidad de la compañía.

Para una empresa del tamaño e impacto de Meta, la imagen que proyecta el mutismo institucional tiene un costo propio. El silencio no es neutral; es una declaración de que la prioridad es proteger la reputación corporativa por encima de la transparencia con los afectados y la opinión pública.

La brecha de Meta en GitHub se seguirá contando, por ahora, no solo por lo que la empresa hizo, sino por todo lo que decide no decir.