Meta potvrdila, že útočníci sa s ukradnutými prihlasovacími údajmi zamestnanca dostali do niektorých jej repozitárov na GitHube. Únik sa týka asi 1 500 ľudí, väčšinou zamestnancov Meta v USA.
Čo zobrali
Podľa Meta tvorí 99 % ukradnutých dát zdrojový kód k niektorým produktom. Zvyšné 1 % sú osobné údaje, ktoré v repozitároch vôbec nemali byť, a časť z nich bola syntetická alebo anonymizovaná. Firma tvrdí, že interné systémy a produkty napadnuté neboli. Útočníkov zablokovala a dotknutým ponúka monitorovanie úverovej histórie a dark webu.
Prečo stačilo jedno heslo
Útok nepotreboval žiadnu sofistikovanú chybu. Stačili prihlasovacie údaje jedného zamestnanca. To je opakujúci sa vzor: aj pri kampani FortiBleed útočníci stavali na ukradnutých a opakovane používaných heslách. Veľké firmy majú prepracované bezpečnostné tímy, no každý účet s prístupom ku kódu je potenciálnymi dverami.
Prečo sú osobné údaje v kóde problém
Do repozitárov sa osobné údaje dostávajú často nenápadne: testovací export z databázy, ukážkový súbor na ladenie, zabudnutý log. Kto má prístup ku kódu, má potom prístup aj k nim. Pri úniku kódu tak unikajú aj dáta, ktoré by inak boli chránené v produkčnej databáze.
Čo si z toho vziať
- Osobné údaje do repozitára nepatria, ani „len na test“. Na testovanie používajte syntetické dáta.
- Prístup ku GitHubu chráňte hardvérovým kľúčom alebo passkey, nie iba heslom a kódom z SMS.
- Zapnite skenovanie tajomstiev (secret scanning), aby sa do kódu nedostali heslá a API kľúče.
- Pravidelne prechádzajte, kto má k repozitárom prístup, a odoberte ho ľuďom, ktorí ho už nepotrebujú.
Náš postreh
Zaujímavé je, že Meta otvorene uviedla presný pomer kódu a osobných údajov. Pri únikoch sa firmy často obmedzia na všeobecné vyhlásenia. Konkrétne čísla pomáhajú dotknutým aj verejnosti posúdiť riziko. Únik zdrojového kódu môže mať aj dlhšie následky: útočníci v ňom môžu hľadať chyby, ktoré zneužijú neskôr.
Dotknutí ľudia by mali sledovať neobvyklé správy a pokusy o prihlásenie a zvážiť zmenu hesiel, ak ich používali aj inde, a pozorne sledovať výpisy z bankových účtov.
Únik u Meta je menší než únik z dánskeho registra obyvateľov, no ukazuje rovnaký problém: dáta končia tam, kde nemajú byť. Meta tento týždeň zaujala aj pozitívnou správou, keď vydala otvorený model Muse Spark Open.
Zdroje
- SecurityWeek: Meta Says Hackers Took Code, Personal Data of 1,500
- The Verge: Meta says its GitHub was hacked
- Cybernews: Meta GitHub breach
Foto: LPS.1, Wikimedia Commons, CC0
