Todo lo que sabemos de la brecha de Meta en GitHub cabe en una declaración: 1.500 afectados y cero comunicados oficiales.
Lo contó un portavoz a SecurityWeek el 13 de octubre y, desde entonces, ni una línea en la web corporativa de Meta. La brecha de Meta en GitHub sigue sin comunicado oficial, así que todo lo que circula viene de esa declaración. El mutismo, en una empresa así, nunca sale gratis.
Qué se llevaron y qué esconde ese 1%
Según ese relato, un grupo externo entró en varios repositorios usando las credenciales robadas de un empleado. De lo sustraído, el 99% era información de negocio —código de producto incluido— y solo el 1% era datos personales. Meta no ha detallado qué productos ni qué tipo de datos. Otro día de cibercosas.
El detalle incómodo: esos datos personales estaban ahí por error, en contra de la política interna de Meta. Buena parte eran datos sintéticos o anonimizados de pruebas, según el portavoz, pero la frase «en contra de la política interna» hace más daño que cualquier malware. Si tu norma dice que eso no puede estar en GitHub y está, el problema no es el atacante: es el control.
Meta empezó a avisar a los afectados el 13 de octubre y les ofrece monitorización de crédito y de la dark web. También dice estar notificando a los reguladores, aunque no precisa cuáles. La mayoría de los afectados son empleados de la compañía en Estados Unidos.
No hace falta un agujero de seguridad sofisticado para montar un desastre: basta con una credencial robada y un repositorio donde nunca debió haber datos de personas.
Las preguntas que Meta no ha respondido
No se sabe cuándo se produjo el acceso, cómo acabó la credencial del empleado en manos ajenas ni quién está detrás. Tampoco cuántos de esos 1.500 afectados no son trabajadores de Meta ni si hay usuarios europeos en la lista. Ninguna fuente menciona a la autoridad irlandesa de protección de datos, que supervisa a Meta en la UE. Ese silencio, en Europa, se llama riesgo.
Lo que sí ha contado la empresa es lo que cambió después: rotación de credenciales en los repositorios, controles para que no se puedan subir datos de usuarios a GitHub, escaneo preventivo de cada subida, y trabajo conjunto con la plataforma. Suena bien. También suena a lista de deberes que se hace cuando ya te han pillado.
El patrón que se repite no es el fallo, es la credencial
Las brechas que más ruido han hecho no venían de un fallo técnico de película, sino de una credencial robada. Pasó con los que roban sesiones con programas espía para revender acceso y con el asalto a las bóvedas de contraseñas de Dashlane. Y la plataforma GitHub se ha convertido en un objetivo, como dejó claro el gusano Miasma se paseó por 73 repositorios de Microsoft. La puerta más barata de abrir es la que alguien dejó entreabierta.
«Los sistemas internos de Meta no fueron vulnerados» es defendible si GitHub cuenta como servicio externo, y ahí la compañía eligió bien las palabras. Pero el resultado es idéntico: alguien se llevó código y datos de 1.500 personas. Blanco y en botella. Lo segundo es lo que debería quitar el sueño, porque revela que una empresa de este tamaño tenía datos personales en repositorios de código, aunque fuera por error.
Si aparece un afectado europeo, la autoridad irlandesa tendrá que mover ficha y Meta pasará de la declaración a los papeles. Hasta entonces, la brecha de Meta en GitHub se contará por lo que la empresa no dice.
El Salseómetro
Nivel de salseo: 4/10. No hay beef entre creadores ni clips cruzados, pero una empresa del tamaño de Meta callada mientras 1.500 personas reciben un correo de disculpa tiene su gracia amarga. Si aparece un afectado europeo, esto sube a 7.
📱 El TL;DR (Too Long; Didn't Read)
- 👤 De quién hablamos: Meta, con GitHub como escenario del robo de credenciales.
- 📲 En qué red social ha pasado: En ninguna: todo sale de una declaración a un medio especializado.
- 🔥 Por qué es viral: Un grupo externo se llevó código y datos de 1.500 personas sin comunicado oficial.
