En Meta robaron el 99% de su código fuente y calificaron el ataque como una molestia menor

Los hackers robaron el código fuente de los productos de Meta y los datos personales de aproximadamente 1500 personas, al obtener acceso a varios repositorios de la empresa en GitHub. Para el ataque, los delincuentes utilizaron credenciales de un empleado que habían sido robadas. Meta detectó la intrusión hace varias semanas y el 13 de octubre comenzó a notificar a los afectados. Según la empresa, el 99% de la información sustraída consistía en material de trabajo, principalmente código de software.

Meta informó que el 1% restante de la información robada correspondía a datos personales de aproximadamente 1500 personas, principalmente empleados de la compañía en Estados Unidos. Qué categorías exactas de información personal llegaron a manos de los atacantes y cuál es el volumen total del código robado, la empresa no lo ha revelado todavía.

Los datos personales no deberían haber estado en GitHub. La empresa señaló que los empleados los añadieron a los repositorios por error, incumpliendo las normas internas. Además, gran parte de los registros que parecían ser datos reales de personas eran en realidad datos de prueba sintéticos o anonimizados, creados para el desarrollo y la verificación de software.

Esa mezcla complica la evaluación de las consecuencias. Meta considera que a los atacantes les puede resultar difícil separar los registros reales de los de prueba; no obstante, la empresa está notificando a los reguladores y a las personas afectadas. A los perjudicados se les ofreció monitoreo del historial crediticio y de la dark web para detectar más rápidamente posibles abusos de la información robada.

Meta subraya que los atacantes no explotaron una vulnerabilidad en los productos de la empresa ni accedieron a los sistemas internos. El acceso se limitó a datos empresariales en repositorios de GitHub. Según los resultados de la investigación, junto con GitHub la empresa tampoco cree que los atacantes tuvieran como objetivo inicialmente su información de forma específica. No se ha revelado públicamente quién está detrás de la intrusión.

Tras descubrir la intrusión, el equipo de seguridad cerró el acceso no autorizado y notificó a GitHub y a las autoridades. Meta luego cambió los secretos de acceso encontrados en los repositorios afectados y reforzó la protección de sus productos teniendo en cuenta el riesgo de fuga del código fuente. En 2026, la toma de repositorios de confianza ya permitió insertar código malicioso en proyectos populares.

El siguiente frente que la empresa aborda está en torno a los propios repositorios. Meta está introduciendo restricciones adicionales para evitar que la información de los usuarios llegue a GitHub y añade escaneo proactivo en caso de que dichos datos se carguen por error. La investigación continúa, pero hasta ahora no hay señales públicas de que se haya vulnerado sistemas internos ni de explotación de vulnerabilidades en los productos de Meta.