Хакеры похитили исходный код продуктов Meta* и персональные данные примерно 1500 человек, получив доступ к нескольким репозиториям компании на GitHub. Для взлома злоумышленники использовали украденные учётные данные сотрудника. Meta обнаружила вторжение несколько недель назад и 13 октября начала уведомлять пострадавших. По оценке компании, 99% украденной информации составляли рабочие материалы, главным образом программный код.
Meta сообщила, что оставшийся 1% похищенной информации пришёлся на персональные сведения примерно 1500 человек, преимущественно сотрудников компании в США. Какие именно категории личной информации попали к злоумышленникам и каков полный объём похищенного кода, компания пока не раскрыла.
Персональные данные вообще не должны были находиться в GitHub. Компания сообщила, что сотрудники добавили их в репозитории по ошибке, нарушив внутренние правила. При этом значительная часть записей, которые выглядели как реальные сведения о людях, на деле представляла собой синтетические либо обезличенные тестовые данные, созданные для разработки и проверки программ.
Такая смесь усложняет оценку последствий. Meta считает, что атакующим может быть непросто отделить настоящие записи от тестовых, однако компания всё равно уведомляет регуляторов и затронутых людей. Пострадавшим предложили мониторинг кредитной истории и даркнета, чтобы быстрее заметить возможное злоупотребление украденной информацией.
Meta подчёркивает, что злоумышленники не использовали уязвимость в продуктах компании и не проникли во внутренние системы. Доступ ограничился бизнес-данными в GitHub-репозиториях. По результатам расследования вместе с GitHub компания также не считает, что атакующие изначально охотились именно за её информацией. Кто стоит за вторжением, публично не сообщается.
После обнаружения вторжения команда безопасности закрыла посторонний доступ, подключила GitHub и правоохранительные органы. Meta затем сменила секреты доступа, найденные в затронутых репозиториях, и усилила защиту продуктов с учётом риска утечки исходного кода. В 2026 году захват доверенных репозиториев уже позволял внедрять вредоносный код в популярные проекты.
Следующий рубеж компания строит вокруг самих репозиториев. Meta вводит дополнительные ограничения, чтобы пользовательские сведения не попадали в GitHub, и добавляет проактивное сканирование на случай ошибочной загрузки таких данных. Расследование продолжается, но публичных признаков взлома внутренних систем или эксплуатации уязвимости в продуктах Meta пока нет.
* Компания Meta и её продукты признаны экстремистскими, их деятельность запрещена на территории РФ.
