Metaは、従業員の認証情報を盗んだ攻撃者がGitHubリポジトリの一部にアクセスした問題を受け、約1,500人に通知を行っています。影響を受けた人の大半は米国の従業員です。
SecurityWeekによると、この侵入でソフトウェアのソースコードが流出したほか、業務データと一緒に誤って保存されていた少量の個人情報も漏えいしました。
Metaは数週間前に侵入を検知し、攻撃者のアクセスを遮断しました。あわせてGitHubと法執行機関にも協力を求めています。影響を受けた人への通知は火曜日に始まりました。
Metaは規制当局にも報告しています。個人情報が含まれていた人には、クレジットモニタリングとダークウェブ監視サービスを提供します。
Metaによると、盗まれたデータの約99%は業務データで、一部製品に関連するソフトウェアコードが含まれていました。
残る1%が個人情報です。Metaは、流出した個人情報の具体的な種類や、影響を受けたリポジトリを明らかにしていません。
同社は、GitHubに個人情報を保存することは社内ポリシーに違反していたと説明しています。個人記録のように見えるデータの大部分は、実際には合成データまたは匿名化されたテストデータでした。
こうしたデータが混在していると、攻撃者が実データとテスト用レコードを見分けにくくなる可能性があります。ただしMetaは、これによって悪用を防げると確認したわけではありません。
Metaは、今回の件に自社製品の脆弱性は関与しておらず、社内システムへの侵入もなかったと強調しています。攻撃者は、侵害した従業員の認証情報を使い、GitHubにホストされた業務情報に不正にアクセスしたということです。
この説明は、侵入口がMeta製品の悪用ではなく、リポジトリの認証にあったことを示しています。広報担当者はSecurityWeekに対し、「Meta製品に脆弱性があったわけではなく、Metaの社内システムが侵害されたわけでもありません」と述べました。
MetaはGitHubとの調査に基づき、攻撃者が同社のデータを特に狙ったとは現時点で考えていません。攻撃を行ったグループや、認証情報を盗んだ手口については、公表していません。
Metaは封じ込めの後、影響を受けたリポジトリで見つかったシークレットをローテーションしました。攻撃者が業務データにアクセスしたことで生じるリスクに対処するため、製品のセキュリティも強化しています。
ただし、具体的な変更内容は明らかにしていません。Metaが置き換える前に、攻撃者が流出したシークレットを使って別のリソースにアクセスしたかどうかも不明です。
MetaはGitHubを使うチームと連携し、ユーザー情報がプラットフォーム上に保存されないようにしています。追加の保護策として、誤ってアップロードされたユーザーデータを検知するプロアクティブなスキャン制御も導入します。
この対応は、不正アクセスそのものと、開発用リポジトリに個人記録が不適切に存在していた問題の両方に対処するものです。
広報担当者は「リポジトリで見つかったシークレットをローテーションし、ユーザーデータをGitHubに保存させないための新たな制御を導入しました。リポジトリを保護する追加策についても、GitHubと協力して進めています」と述べました。
公表された対応は、認証情報の封じ込め、リポジトリの保護策、機密情報に対する管理の強化を組み合わせたものです。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。自社チームでの活用を検討する
翻訳元: https://cyberpress.org/meta-confirms-github-breach-exposing-source-code-personal-data/
