Meta confirmó que un grupo externo de atacantes accedió a algunos de sus repositorios de GitHub utilizando credenciales robadas de un empleado de la compañía. Con ese acceso, los ciberatacantes se llevaron código y datos personales de aproximadamente 1,500 personas, la mayoría empleados de la empresa en Estados Unidos.

La información fue dada a conocer por un portavoz de Meta el 13 de octubre. Sin embargo, la compañía no publicó ningún comunicado oficial sobre el incidente, por lo que todo lo que se conoce procede exclusivamente de esa declaración a un medio especializado en ciberseguridad.

El 99 % de la información sustraída correspondía a datos de negocio, incluido código de algunos productos de la compañía. El 1 % restante eran datos personales. La empresa no ha precisado qué tipo de datos ni qué productos específicos se vieron afectados.

Los datos personales, se habían subido a los repositorios por error y en contra de la política interna de la empresa. Además, Meta aseguró que buena parte de esa información eran datos sintéticos o anonimizados que se utilizaban con fines de pruebas.

La compañía comenzó a notificar a las personas afectadas el mismo 13 de octubre y les ofrece monitorización de crédito y vigilancia en la dark web. También afirmó estar notificando a los reguladores correspondientes, aunque sin precisar cuáles.

No fue una vulnerabilidad en ningún producto de Meta, y los sistemas internos de Meta no fueron vulnerados.

Con esas palabras, el portavoz intentó marcar distancia entre lo ocurrido y la integridad de la plataforma de Meta. Sin embargo, el resultado tangible es el mismo: alguien accedió a repositorios de la empresa y se llevó código y datos personales.

La empresa afirmó que detectó el acceso hace algunas semanas, lo cortó de inmediato, notificó a GitHub y a las autoridades de seguridad correspondientes, y que el grupo atacante no iba específicamente por sus datos.

Meta detalló las medidas que ha tomado tras el incidente:

• Rotó todos los secretos, claves y credenciales que se encontraban en los repositorios.
• Implantó controles para impedir que se guarden datos de usuarios en GitHub.
• Activó escaneo preventivo de las subidas a los repositorios en búsqueda de datos personales añadidos por error.
• Trabajó con GitHub en medidas adicionales de protección.

Quedan numerosas incógnitas sin resolver. No se sabe cuándo exactamente se produjo el acceso, cómo fue robada la credencial del empleado, quién está detrás del ataque, cuántos de los 1,500 afectados no son empleados, ni si hay usuarios europeos entre las víctimas.

Es notable que ninguna de las fuentes involucradas mencione a la autoridad irlandesa de protección de datos, la instancia que supervisa a Meta en el Espacio Económico Europeo, lo que deja una brecha relevante si entre los afectados hubiera personas protegidas por el reglamento europeo.

Lo que revela esta brecha es un patrón que se repite en los incidentes de ciberseguridad más recientes: no se trata de una vulnerabilidad técnica sofisticada, sino de la sencillez con la que una credencial robada puede abrir la puerta a repositorios enteros de una de las empresas más grandes del mundo.

La secuencia es conocida: los ciberdelincuentes roban sesiones mediante programas espía para revender el acceso, o apuntan a bóvedas de contraseñas como la de Dashlane. GitHub, por su parte, se ha convertido en un objetivo en sí mismo, como demostró el gusano Miasma que infectó 73 repositorios de Microsoft.

Y entonces está el eufemismo corporativo. Decir que «los sistemas internos no fueron vulnerados» es técnicamente defendible si se categoriza a GitHub como un servicio externo. Pero el ciudadano que fue notificado de que sus datos personales estaban en un repositorio robado difícilmente va a celebrar esa distinción semántica.

Que una compañía del tamaño de Meta tuviera datos personales en repositorios de código, aunque fuera por error y en contra de su propia política, habla más de los controles internos de la empresa que de la sofisticación del atacante. Y que el público se entere solo por una declaración a un medio especializado, sin comunicado oficial ni rueda de prensa, tampoco contribuye a generar confianza.