Meta, GitHub depolarına yetkisiz erişim sonucu yaklaşık 1.500 kişinin etkilendiğini açıkladı. Şirkete göre saldırganlar, bir çalışanın ele geçirdikleri giriş bilgilerini kullandı. Erişilen depolarda ağırlıklı olarak kaynak kodu, ayrıca yanlışlıkla yüklenmiş kişisel bilgiler yer alıyordu.
Etkilenenlerin çoğu ABD’de çalışan Meta personeli. Şirket, olayın Meta ürünlerinde bir güvenlik açığına ya da Meta’nın iç sistemlerine erişime işaret ettiğini söylemiyor.
Bildirimler 13 Ekim’de başladı
Meta, ihlali birkaç hafta önce fark ettikten sonra saldırganların erişimini sonlandırdığını bildirdi. Şirket, GitHub’la birlikte inceleme yürütüyor ve kolluk kuvvetleriyle çalışıyor. Etkilenen kişilere bildirimler 13 Ekim’de gönderilmeye başlandı; ilgili düzenleyici kurumlar da bilgilendiriliyor.
Meta’nın paylaştığı verilere göre alınan içeriklerin yüzde 99’u ticari verilerden oluşuyor ve bunların başında ürünlerle ilişkili yazılım kodları geliyor. Kalan yüzde 1 ise kişisel bilgiler. Şirket, bu oranların etkilenen kişi sayısını ya da dosyaların toplam boyutunu ifade etmediğini belirtiyor: yaklaşık 1.500 kişi ile yüzde 1, farklı ölçümleri anlatıyor.
Kişisel verilerin bir bölümü test amaçlı
Meta, kişisel bilgilerin şirket kurallarına aykırı biçimde depolara yanlışlıkla yüklendiğini belirtiyor. Kişisel veri izlenimi veren kayıtların önemli bir kısmının sentetik veya anonimleştirilmiş test verisi olduğunu da ekliyor. Hangi kişisel bilgi türlerinin etkilendiği açıklanmadı. Şirket, etkilenenlere kredi ve yasa dışı veri paylaşımını izleme hizmetleri sunuyor.
Depolardaki gizli erişim bilgileri yenilendi
Şirket, etkilenen depolarda tespit ettiği gizli erişim bilgilerini yenilediğini ve kullanıcı verilerinin yanlışlıkla yüklenmesini önlemeye yönelik kontroller eklediğini söylüyor. Kaynak kodunda bulunabilecek erişim anahtarları, çalışanın hesabına ait giriş bilgilerinden ayrı bir risk oluşturabiliyor.
GitHub’ın gizli bilgi tarama sistemi, API anahtarları, parolalar ve erişim belirteçleri gibi kod içine eklenmiş bilgileri arıyor. Tarama, yalnızca güncel dosyalarla sınırlı kalmıyor; deponun dallarındaki geçmişi de kapsıyor. Yeni gizli bilgi türleri eklendiğinde depolar yeniden inceleniyor; böylece dosyadan silinen bir bilginin eski sürümlerde kalıp kalmadığı da kontrol edilebiliyor.
GitHub, sızıntı tespit edildiğinde ilgili erişim bilgisinin yenilenmesini veya geçersiz kılınmasını öneriyor. Meta da erişim bilgilerini yenilediğini açıkladı. Ancak şirket, saldırganların çalışanın giriş bilgilerini nasıl ele geçirdiğine ilişkin ayrıntı paylaşmadı.
