Hackers invadem repositórios da Meta no GitHub

Autoria: Compilado do Código Fonte TV [OFICIAL] · Assistir no YouTube

Vídeo de autoria do canal indicado, não da IANIA; todos os direitos pertencem ao criador. Transcrição, resumo e tradução gerados automaticamente; o conteúdo no idioma original é preservado na versão em idioma original.

Idioma original: português

Vídeo original: Hackers invadem repositórios da Meta no GitHub · Canal: Compilado do Código Fonte TV [OFICIAL] · 05:13 · Assistir no YouTube

Tópicos: Cibersegurança e segurança de software, Privacidade e proteção de dados

Resumo

A Meta confirmou que invasores usaram credenciais roubadas de um funcionário para acessar parte de seus repositórios no GitHub, onde havia código-fonte e dados pessoais de cerca de 1.500 pessoas. A empresa afirmou que a maior parte do material era corporativo e que os registros pessoais foram incluídos nos repositórios por engano, contrariando suas diretrizes de privacidade. A Meta bloqueou o acesso, rotacionou segredos e chaves expostos e ofereceu monitoramento contra fraudes às pessoas afetadas. O vídeo também discute os riscos de credenciais comprometidas e compara o caso a incidentes anteriores em projetos de software.

Pontos-chave

Credenciais roubadas de um funcionário foram usadas para invadir parte dos repositórios da Meta no GitHub.
O incidente expôs código-fonte de produtos e dados pessoais de cerca de 1.500 pessoas.
Segundo a Meta, aproximadamente 99% do material extraído era composto por dados corporativos e código de software.
A empresa reconheceu que dados pessoais foram parar nos repositórios em violação às suas diretrizes internas de privacidade.
A Meta bloqueou o acesso dos invasores, rotacionou segredos e chaves expostos e reforçou a varredura de código.
A empresa ofereceu monitoramento contra fraudes financeiras às pessoas afetadas.
Até o momento mencionado no vídeo, não havia indícios de adulteração ou vazamento público do código roubado.
Os comentaristas destacam que credenciais comprometidas e dados de teste inadequados podem criar riscos de segurança.

Capítulos

Início	Capítulo	Resumo
00:02	Invasão dos repositórios da Meta	A Meta relata acesso não autorizado a parte de seus repositórios no GitHub por meio de credenciais roubadas.
01:04	Dados expostos e resposta da empresa	O vídeo detalha a composição dos dados extraídos, a presença indevida de registros pessoais e as medidas adotadas pela Meta.
02:38	Riscos de credenciais comprometidas	Os comentaristas comparam o incidente a outros casos e discutem como o acesso de um colaborador pode ampliar o impacto.
04:10	Risco de alterações e outros incidentes	A conversa aborda a possibilidade de adulteração do código e cita outros problemas recentes de segurança em empresas e projetos.
04:42	Encerramento	O canal apresenta o programa e convida o público a acompanhar novos episódios sobre tecnologia e segurança.

Citações

A Meta confirmou que os criminosos invadiram parte de seus repositórios no GitHub utilizando credenciais roubadas de um funcionário. — 00:02

Cerca de 99% do material extraído era composto por dados corporativos e código de software. — 01:04

A equipe realizou a rotação de todos os segredos e chaves expostos. — 02:08

Até o momento, não há indícios de que o código roubado tenha sido adulterado ou vazado publicamente. — 02:38

Conceitos e entidades

Meta (empresa): Empresa que confirmou a invasão de parte de seus repositórios no GitHub.
GitHub (ferramenta): Plataforma externa de desenvolvimento onde estavam hospedados os repositórios acessados pelos invasores.
Security Week (empresa): Veículo ao qual a Meta enviou um comunicado sobre o incidente.
Axios (repo): Projeto citado no vídeo como exemplo de incidente anterior envolvendo engenharia social e acesso a repositórios.
Claude Code (ferramenta): Produto mencionado na comparação com outros casos recentes de vazamento de código.
engenharia social (conceito): Uso de manipulação de pessoas para obter acesso ou induzi-las a realizar ações que comprometem a segurança.
credenciais roubadas (conceito): Dados de autenticação obtidos indevidamente e usados para acessar sistemas ou repositórios.

Tradução completa (pt-BR)

00:02 Olha só, hackers invadiram repositórios da Meta no GitHub. Parece déjà vu, só que agora aconteceu na Meta. >> É, pois é, só vai trocando ali a peça-chave, né? E a Meta confirmou que os criminosos invadiram parte de seus repositórios no GitHub utilizando credenciais roubadas de um funcionário, obtendo acesso ao código-fonte de produtos e a dados pessoais de cerca de 1.500 pessoas. A maioria das vítimas afetadas é composta por funcionários da própria empresa nos Estados Unidos, segundo comunicado enviado ao portal

00:34 Security Week. A companhia detectou a invasão semanas antes de notificar formalmente os envolvidos, momento em que bloqueou o acesso dos invasores e acionou a equipe de segurança do próprio GitHub e autoridades policiais para acompanhar a investigação. A Meta pontuou que o incidente não decorreu de vulnerabilidades em seus produtos comerciais, nem atingiu seus sistemas internos de servidores, tratando-se exclusivamente de materiais hospedados na plataforma externa de desenvolvimento. >> Então, de acordo com o balanço técnico

01:04 da Meta, cerca de 99% do material extraído era composto por dados corporativos e código de software de determinados serviços, enquanto o restante correspondia a registros pessoais inseridos no repositório por engano. Pois é, a empresa admitiu que violou suas próprias diretrizes internas de privacidade ao armazenar essas informações no GitHub, mas ressaltou que uma parcela significativa dos registros continha apenas dados sintéticos e anonimizados de testes. Então, sabe quando você faz um teste e fala assim: “Pô, eu queria uma base de teste”. Aí você vai: usuário um,

01:36 usuário, nome, usuário um, usuário dois, usuário três, usuário quatro. Aí você fala assim: “Pô, não, vamos usar uma base com dados reais, só pra gente ver se realmente vai rodar legal”. Aí você vai lá no banco de dados, pega uma fração dos dados, exporta isso pra tua base de teste e deixa os dados lá sendo usados. Não sei se foi isso que aconteceu, mas olha só: 1.500 pessoas estavam lá. Acho que sim, né? Pois é, como resposta operacional, a equipe realizou a rotação de todos os segredos e chaves expostos, reforçou mecanismos preventivos de varredura de código e ofereceu serviço

02:08 de monitoramento contra fraudes financeiras aos indivíduos afetados. Então, se eles estão falando isso, é porque havia dados pessoais que poderiam fazer as pessoas serem alvo de fraudes financeiras. Será? Número do seguro social nos Estados Unidos, né? Ou até número de conta bancária, e-mail ou outras informações. >> Enfim, dados que podem ser usados de alguma forma para engenharia social e para conseguir algo, né? >> Ó, até o momento, não há indícios de que o código roubado tenha sido

02:38 adulterado ou vazado publicamente. O problema disso tudo é que eles falaram que nada foi afetado, mas tudo bem. O problema é se agora acontecer algo parecido com o que aconteceu com o Axios, que também foi um caso. Usaram engenharia social, invadiram. Aqui não diz como foi a invasão. Mas usaram engenharia social contra um desenvolvedor, um colaborador do projeto, e aí fizeram todo um esquema para ele clicar num link. Ele acabou aceitando o link e abriu no computador as permissões que tinha nos repositórios

03:09 e o repositório do Axios, obviamente, tinha uns 100 milhões de downloads por semana, uma coisa assim, absurda, né? E, nesse caso, não diz quantos… Eu achei que eram muitos repositórios, mas não diz quantos repositórios. >> Não diz, né? Diz ali o número de pessoas. Acho que até na hora eu também me confundi com relação a isso. Mas, de qualquer forma, você vê, né, a fragilidade. Às vezes, um desenvolvedor descuidado consegue perder suas credenciais e tinha esses dados expostos. Então, a Meta acabou sofrendo de duas formas, né? Primeiro porque realmente

03:40 utilizou dados que não deveriam estar num repositório, que não deveriam ter ido para lá, mas foram e estavam sendo usados, a gente supõe, como uma base de teste. Mas isso é uma suposição nossa. E sofreu por [roncando] conta de um funcionário que acabou deixando essa brecha, né? >> Deixou a brecha ali: o código-fonte de produtos. Então, é mais de um produto. Mesmo que sejam produtos internos, dependendo de quais produtos são esses, isso pode abrir portas para produtos externos, né? E, uma vez que o usuário tenha acesso a esses produtos e

04:10 ao código-fonte, quem invadiu poderia muito bem ter feito alterações no código. Obviamente, seria relativamente fácil detectar essas alterações, né? >> Porque foi feito dentro da plataforma do GitHub, mas isso já dá um alerta, cara. Assim como vazou o código lá do Cloud Code, houve problemas no Axios, teve o tal do Pixel Leak que a gente também trouxe, que não foi uma invasão por si só. Então, cara, a gente está vendo isso toda semana. Já acontecia, mas agora, com IA, está acontecendo muito desse tipo de problema

04:42 dentro das empresas. >> E este aqui é um trecho de uma notícia do compilado do Código Fonte TV. >> Lá toda semana tem episódio novo falando de programação, tecnologia, inteligência artificial e cibersegurança. >> Então, já se inscreve aqui no canal do compilado e acompanha os episódios completos. >> [música] [música]

05:13 [música]

Transcrição original

[00:02] Olha só, hackers invadiram repositórios da Meta no GitHub. Parece déjà vu, só que agora aconteceu na Meta. >> É, pois só vai trocando ali o, a peça chave, né? E a Meta confirmou que os criminosos invadiram ali parte de seus repositórios no GitHub utilizando credenciais roubadas de um funcionário, obtendo acesso a código fonte de produtos e a dados pessoais de cerca de 1.500 pessoas. A maioria das vítimas afetadas é composta por funcionários da própria empresa nos Estados Unidos, segundo comunicado enviado ao portal

[00:34] Security Week. A companhia detectou a invasão semanas antes de notificar formalmente os envolvidos, momento em que bloqueou o acesso dos invasores e acionou a equipe de segurança do próprio GitHub e autoridades policiais para acompanhar a investigação. A Meta pontuou que o incidente não decorreu de vulnerabilidades em seus produtos comerciais, nem atingiu seus sistemas internos de servidores, tratando-se exclusivamente de materiais hospedados na plataforma externa de desenvolvimento. >> Então, de acordo com o balanço técnico

[01:04] da Meta, cerca de 99% do material extraído era composto por dados corporativos e código de software de determinados serviços, enquanto o restante correspondia a registros pessoais inseridos no repositório por engano. Pois é, a empresa admitiu que violou suas próprias diretrizes internas de privacidade ao substituir essas informações no GitHub, mas ressaltou que parcela significativa dos registros continha apenas dados sintéticos e anonimizados de testes. Então, sabe quando você faz teste, você fala assim: “Pô, eu queria uma base de teste”. Aí você vai, usuário um,

[01:36] usuário, nome, usuário um, usuário dois, usuário três, usuário quatro. Aí você fala assim: “Pô, não, vamos usar uma base com dados reais, assim, só pra gente ver se realmente vai rodar legal”. Aí você vai lá, vai lá no banco de dados pega uma fração do, dos dados, exporta isso pra tua base de teste e deixa, deixa os dados usando aí. Não sei se foi isso que aconteceu, mas olha só, 1.500 pessoas estavam lá. Acho que sim, né? Pois é, com a resposta operacional a equipe realizou a rotação de todos os segredos e chaves expostos, reforçou mecanismos preventivos de varredura de código e ofereceu serviço

[02:08] de monitoramento contra fraudes financeiras aos indivíduos afetados. Então, se ele tá falando isso é porque tinham dados pessoais que poderiam levar as pessoas a a a serem alvo de de fraudes financeiras. Será? Número do lá no seguro social nos Estados Unidos, né? Ou número até de de conta em banco ou e-mail ou outras informações. >> Enfim, dados que podem ser usados ali de alguma forma para engenharia social e para conseguir algo, né? >> Ó, até o momento aí não há indícios de que o código roubado tenha sido

[02:38] adulterado ou vazado publicamente. O problema disso tudo, e o que eles falaram, não afetaram nada não, mas tudo bem. O problema é agora se acontecesse algo parecido com o que aconteceu com o Axium, que também foi o caso. Usaram engenharia social, invadiram, aqui não diz como foi invadido. Mas usaram engenharia social de um desenvolvedor, de um colaborador do projeto e aí fizeram todo um esquema para ele clicar num link, ele acabou aceitando o link e abriu no computador que ele conectou as permissões que ele tinha de repositórios

[03:09] e o repositório do Axium, obviamente, tinha uns 100 milhões de downloads por semana, uma coisa assim, absurda, né? E nesse caso não diz quantos é eu achei que eram muitos repositórios, não diz quantos repositórios >> Não diz, né? Diz ali o dado das pessoas. Acho que eu até na hora também me confundi com relação a isso. Mas de qualquer forma, você vê, né, a a fragilidade. Às vezes um deve ali descuidado conseguiu perder sua credencial e tinha esses dados expostos. Então a meta acabou sofrendo de de duas formas, né? Primeiro porque realmente

[03:40] utilizou dados que não deveriam estar num repositório e que não deveriam ter ido e foram para lá, estavam sendo utilizados, a gente supõe ali como uma base de teste, mas aí é suposição nossa, e sofreu por [roncando] conta de um funcionário que acabou de conseguindo deixar essa brecha, né? >> Deixou a brecha ali, o código fonte de produtos. Então, é mais de um produto. Mesmo que sejam produtos internos, dependendo que que produtos são esses, isso pode abrir porta para produtos externos que, né? E uma vez que o usuário tenha acesso a esses produtos e

[04:10] ao código fonte, quem invadiu ali poderia muito bem ter feito alterações no código. Obviamente isso aí seria relativamente fácil de detectar essas alterações, né? >> Porque foi feito dentro do da plataforma do GitHub, mas isso aí já dá um alerta, cara. Assim como vazou o código lá do do Cloud Code, problemas no Axios, teve o o tal do Pixel Leak aí que a gente trouxe também, que não não foi uma invasão por si só. Então, cara, a gente tá vendo toda semana. Já acontecia, mas agora com IA tá acontecendo muito problema desse

[04:42] tipo assim dentro das empresas. >> E esse aqui é um corte de uma notícia do compilado do Código Fonte TV. >> Onde toda semana tem episódio novo falando de programação, tecnologia, inteligência artificial e cybersegurança. >> Então, já se inscreve aqui no canal do compilado e acompanha os episódios completos. >> [música] [música]

[05:13] [música]