Hackers invadem repositórios da Meta no GitHub

Author: Compilado do Código Fonte TV [OFICIAL] · Watch on YouTube

Video authored by the channel shown, not by IANIA; all rights belong to the creator. Transcript and summary generated automatically; the original-language content is preserved.

Original language: Portuguese

Original video: Hackers invadem repositórios da Meta no GitHub · Channel: Compilado do Código Fonte TV [OFICIAL] · 05:13 · Watch on YouTube

Topics: Cybersecurity and software security, Privacy and data protection

Summary

A Meta confirmou que invasores usaram credenciais roubadas de um funcionário para acessar parte de seus repositórios no GitHub, onde havia código-fonte e dados pessoais de cerca de 1.500 pessoas. A empresa afirmou que a maior parte do material era corporativo e que os registros pessoais foram incluídos nos repositórios por engano, contrariando suas diretrizes de privacidade. A Meta bloqueou o acesso, rotacionou segredos e chaves expostos e ofereceu monitoramento contra fraudes às pessoas afetadas. O vídeo também discute os riscos de credenciais comprometidas e compara o caso a incidentes anteriores em projetos de software.

Key points

Credenciais roubadas de um funcionário foram usadas para invadir parte dos repositórios da Meta no GitHub.
O incidente expôs código-fonte de produtos e dados pessoais de cerca de 1.500 pessoas.
Segundo a Meta, aproximadamente 99% do material extraído era composto por dados corporativos e código de software.
A empresa reconheceu que dados pessoais foram parar nos repositórios em violação às suas diretrizes internas de privacidade.
A Meta bloqueou o acesso dos invasores, rotacionou segredos e chaves expostos e reforçou a varredura de código.
A empresa ofereceu monitoramento contra fraudes financeiras às pessoas afetadas.
Até o momento mencionado no vídeo, não havia indícios de adulteração ou vazamento público do código roubado.
Os comentaristas destacam que credenciais comprometidas e dados de teste inadequados podem criar riscos de segurança.

Chapters

Start	Chapter	Summary
00:02	Invasão dos repositórios da Meta	A Meta relata acesso não autorizado a parte de seus repositórios no GitHub por meio de credenciais roubadas.
01:04	Dados expostos e resposta da empresa	O vídeo detalha a composição dos dados extraídos, a presença indevida de registros pessoais e as medidas adotadas pela Meta.
02:38	Riscos de credenciais comprometidas	Os comentaristas comparam o incidente a outros casos e discutem como o acesso de um colaborador pode ampliar o impacto.
04:10	Risco de alterações e outros incidentes	A conversa aborda a possibilidade de adulteração do código e cita outros problemas recentes de segurança em empresas e projetos.
04:42	Encerramento	O canal apresenta o programa e convida o público a acompanhar novos episódios sobre tecnologia e segurança.

Quotes

A Meta confirmou que os criminosos invadiram parte de seus repositórios no GitHub utilizando credenciais roubadas de um funcionário. — 00:02

Cerca de 99% do material extraído era composto por dados corporativos e código de software. — 01:04

A equipe realizou a rotação de todos os segredos e chaves expostos. — 02:08

Até o momento, não há indícios de que o código roubado tenha sido adulterado ou vazado publicamente. — 02:38

Concepts and entities

Meta, GitHub, Security Week, Axios, Claude Code, engenharia social, credenciais roubadas

Full transcript (original language)

00:02 Olha só, hackers invadiram repositórios da Meta no GitHub. Parece déjà vu, só que agora aconteceu na Meta. >> É, pois só vai trocando ali o, a peça chave, né? E a Meta confirmou que os criminosos invadiram ali parte de seus repositórios no GitHub utilizando credenciais roubadas de um funcionário, obtendo acesso a código fonte de produtos e a dados pessoais de cerca de 1.500 pessoas. A maioria das vítimas afetadas é composta por funcionários da própria empresa nos Estados Unidos, segundo comunicado enviado ao portal

00:34 Security Week. A companhia detectou a invasão semanas antes de notificar formalmente os envolvidos, momento em que bloqueou o acesso dos invasores e acionou a equipe de segurança do próprio GitHub e autoridades policiais para acompanhar a investigação. A Meta pontuou que o incidente não decorreu de vulnerabilidades em seus produtos comerciais, nem atingiu seus sistemas internos de servidores, tratando-se exclusivamente de materiais hospedados na plataforma externa de desenvolvimento. >> Então, de acordo com o balanço técnico

01:04 da Meta, cerca de 99% do material extraído era composto por dados corporativos e código de software de determinados serviços, enquanto o restante correspondia a registros pessoais inseridos no repositório por engano. Pois é, a empresa admitiu que violou suas próprias diretrizes internas de privacidade ao substituir essas informações no GitHub, mas ressaltou que parcela significativa dos registros continha apenas dados sintéticos e anonimizados de testes. Então, sabe quando você faz teste, você fala assim: “Pô, eu queria uma base de teste”. Aí você vai, usuário um,

01:36 usuário, nome, usuário um, usuário dois, usuário três, usuário quatro. Aí você fala assim: “Pô, não, vamos usar uma base com dados reais, assim, só pra gente ver se realmente vai rodar legal”. Aí você vai lá, vai lá no banco de dados pega uma fração do, dos dados, exporta isso pra tua base de teste e deixa, deixa os dados usando aí. Não sei se foi isso que aconteceu, mas olha só, 1.500 pessoas estavam lá. Acho que sim, né? Pois é, com a resposta operacional a equipe realizou a rotação de todos os segredos e chaves expostos, reforçou mecanismos preventivos de varredura de código e ofereceu serviço

02:08 de monitoramento contra fraudes financeiras aos indivíduos afetados. Então, se ele tá falando isso é porque tinham dados pessoais que poderiam levar as pessoas a a a serem alvo de de fraudes financeiras. Será? Número do lá no seguro social nos Estados Unidos, né? Ou número até de de conta em banco ou e-mail ou outras informações. >> Enfim, dados que podem ser usados ali de alguma forma para engenharia social e para conseguir algo, né? >> Ó, até o momento aí não há indícios de que o código roubado tenha sido

02:38 adulterado ou vazado publicamente. O problema disso tudo, e o que eles falaram, não afetaram nada não, mas tudo bem. O problema é agora se acontecesse algo parecido com o que aconteceu com o Axium, que também foi o caso. Usaram engenharia social, invadiram, aqui não diz como foi invadido. Mas usaram engenharia social de um desenvolvedor, de um colaborador do projeto e aí fizeram todo um esquema para ele clicar num link, ele acabou aceitando o link e abriu no computador que ele conectou as permissões que ele tinha de repositórios

03:09 e o repositório do Axium, obviamente, tinha uns 100 milhões de downloads por semana, uma coisa assim, absurda, né? E nesse caso não diz quantos é eu achei que eram muitos repositórios, não diz quantos repositórios >> Não diz, né? Diz ali o dado das pessoas. Acho que eu até na hora também me confundi com relação a isso. Mas de qualquer forma, você vê, né, a a fragilidade. Às vezes um deve ali descuidado conseguiu perder sua credencial e tinha esses dados expostos. Então a meta acabou sofrendo de de duas formas, né? Primeiro porque realmente

03:40 utilizou dados que não deveriam estar num repositório e que não deveriam ter ido e foram para lá, estavam sendo utilizados, a gente supõe ali como uma base de teste, mas aí é suposição nossa, e sofreu por [roncando] conta de um funcionário que acabou de conseguindo deixar essa brecha, né? >> Deixou a brecha ali, o código fonte de produtos. Então, é mais de um produto. Mesmo que sejam produtos internos, dependendo que que produtos são esses, isso pode abrir porta para produtos externos que, né? E uma vez que o usuário tenha acesso a esses produtos e

04:10 ao código fonte, quem invadiu ali poderia muito bem ter feito alterações no código. Obviamente isso aí seria relativamente fácil de detectar essas alterações, né? >> Porque foi feito dentro do da plataforma do GitHub, mas isso aí já dá um alerta, cara. Assim como vazou o código lá do do Cloud Code, problemas no Axios, teve o o tal do Pixel Leak aí que a gente trouxe também, que não não foi uma invasão por si só. Então, cara, a gente tá vendo toda semana. Já acontecia, mas agora com IA tá acontecendo muito problema desse

04:42 tipo assim dentro das empresas. >> E esse aqui é um corte de uma notícia do compilado do Código Fonte TV. >> Onde toda semana tem episódio novo falando de programação, tecnologia, inteligência artificial e cybersegurança. >> Então, já se inscreve aqui no canal do compilado e acompanha os episódios completos. >> [música] [música]

05:13 [música]