Metaは、GitHubリポジトリが侵害され、ソフトウェアコードと約1,500人の個人情報が流出したことを明らかにしました。対象者の大半は米国の従業員です。
同社は、従業員の認証情報が盗まれた不正アクセスを数週間前に発見し、10月13日から影響を受けた個人への通知を開始しました。
MetaがSecurityWeekに寄せた声明によると、外部のグループが侵害した認証情報を使って同社のリポジトリにアクセスしました。
その後、セキュリティチームは不正アクセスを遮断し、GitHubおよび法執行機関と連携しました。Metaは、今回の事案は自社製品の脆弱性の悪用や、社内システムの侵害によるものではないと説明しています。
CyberSecurity Tools
盗まれたのは主に業務情報でした。Metaの推定では、流出したデータの99%は一部の製品に関連するソフトウェアコードで、残る1%が個人情報です。同社は、流出した個人情報の具体的な種類や、影響を受けた製品については公表していません。
同社は、社内ポリシーに違反して個人記録をリポジトリに誤って保存していました。また、個人データのように見える情報の相当部分は、実際には合成データまたは匿名化されたテストデータだったとしています。
そのため、攻撃者は本物の記録とテスト用データを区別するのに苦労する可能性があります。ただし、この不確実性があるからといって、確認された流出が帳消しになるわけではありません。
MetaとGitHubによる調査では、攻撃者が同社のデータを狙い撃ちにしたかどうかは特定できていません。
公表された情報では、攻撃グループの正体、従業員の認証情報が盗まれた経緯、関与した認証メカニズムのいずれも明らかになっていません。このため、最初の認証情報の侵害や、攻撃キャンペーン全体の背景は、公には未解明のままです。
リスクを軽減するため、Metaは影響を受けたリポジトリ内で見つかったシークレットをローテーションし、業務データの流出を受けて製品のセキュリティを強化しました。
同社はGitHubと協力し、リポジトリの保護もさらに強化しました。ただし、対象となったシークレットや、実施したセキュリティ変更の詳細は公表していません。
Metaは、ユーザー情報がGitHubリポジトリに置かれることを防ぐため、追加の管理策を導入しています。あわせて、誤ってアップロードされたデータを検知するプロアクティブなスキャンも実施し、既存のポリシーに加えて防御の層を増やします。
これらの対策は、認証情報を悪用した侵入の影響を拡大させた、個人情報の不適切な保管に対処するものです。
Metaは、影響を受けた個人に対してクレジットモニタリングとダークウェブ監視サービスを提供しており、規制当局にも通知しています。
今回の事案は、盗まれた認証情報によるリポジトリへの不正アクセスと、社内ポリシーに違反した個人情報の保管という、二つの異なる不備を浮き彫りにしました。Metaが発表した対応は、リポジトリのアクセス保護とデータの取り扱い慣行の両面に対処することを目指しています。
新たなマルウェアが出現したら、すぐに防御を更新しましょう。1万6,000のSOCのデータを活用したTIフィードを統合しましょう。
翻訳元: https://gbhackers.com/meta-github-repositories-compromised/
