Meta、GitHubへの不正アクセスでソースコードと1,500人分の個人情報が流出

攻撃者が最近、Metaの製品に関する独自のソースコードと、約1,500人の個人情報を持ち出しました。攻撃者は同社の複数の社内GitHubリポジトリに不正にアクセスしており、侵入には社内従業員の侵害された認証情報が使われました。Metaはこのインシデントを数週間前に発見し、10月13日から影響を受けた個人への通知を始めています。社内の評価によると、盗まれた情報の99%は業務関連資料で、その大半はソフトウェアのソースコードでした。

流出した従業員データの範囲

一方、Metaは、残りの1%に約1,500人の個人情報が含まれていたと明らかにしました。被害者の大半は米国を拠点とする社員です。ただし、同社は侵害された個人データの具体的な種類をまだ公表していません。盗まれたソースコードの総量も明らかにしていません。

ポリシー違反と合成テストデータ

本来、こうした機微な個人情報はGitHub上に置かれるべきものではありませんでした。Metaの説明によると、社員が誤ってリポジトリにレコードをアップロードしており、社内のセキュリティポリシーに違反していました。幸い、実在の人物のプロフィールに見えるエントリの相当部分は、合成データまたは匿名化されたテストデータでした。エンジニアがソフトウェア開発や品質保証テストのために、こうした模擬データセットを作成していたものです。

このため、実データと架空のデータが混在しており、侵害後の影響評価は複雑になっています。Metaは、攻撃者が本物の従業員情報と合成テストプロファイルを見分けるのは難しいとみています。それでも同社は、規制当局と影響を受けた従業員に自主的に通知を進めています。さらに、影響を受けた人々に対し、個人情報の不正利用を早期に検知できるよう、クレジットモニタリングとダークウェブ監視のサービスを提供しました。

調査結果とインシデント対応

Metaは、攻撃者が同社の商用製品のソフトウェア脆弱性を悪用していないと強調しています。また、攻撃者は同社のコア社内ネットワークには侵入できませんでした。不正アクセスは、外部のGitHubリポジトリに置かれた業務データの範囲にとどまっています。Metaはまた、GitHubとの共同調査を踏まえ、攻撃者が当初から同社を狙っていたわけではないと結論づけました。侵入の実行犯は、当局からも公表されていません。

リポジトリの防御強化

侵害を検知すると、セキュリティチームはすぐに不正アクセスを遮断し、GitHubと法執行機関に通報しました。続いてMetaは、侵害されたリポジトリ内で見つかったすべての暗号化アクセスシークレットをローテーションしています。エンジニアは、ソースコード流出に伴う潜在的なリスクを軽減するため、製品の防御も強化しました。2026年を通じて、信頼されたリポジトリの乗っ取りは、人気ソフトウェアプロジェクトへの悪意あるコード混入を繰り返し可能にしてきました。

今後、Metaはコードリポジトリ周辺のガードレールを一段と厳格にする方針です。具体的には、ユーザーデータがGitHubに到達しないよう、厳格なアクセス制御を導入します。管理者はさらに、機密情報の誤アップロードを即座に検出する自動スキャンツールも先行して配備しています。正式な調査は続いていますが、社内システムの侵害や、Metaの製品を狙った実際の悪用を示す公的な証拠は確認されていません。