Hackers invadem repositórios da Meta com senha roubada de um funcionário e levam dados de 1.500 pessoas

Uma senha roubada de um único funcionário foi suficiente para abrir as portas de parte do código da Meta. Segundo o SecurityWeek, um grupo de hackers usou as credenciais de um colaborador para entrar em repositórios da empresa no GitHub, a plataforma onde equipes de programação guardam e compartilham o código dos seus programas. Com isso, levaram código-fonte de alguns produtos e informações pessoais de cerca de 1.500 pessoas, a maioria funcionários nos Estados Unidos.

Pense num repositório como um armário compartilhado onde fica a receita de cada produto. Quem tem a chave entra e mexe em tudo o que aquela chave permite. Os invasores, nesse caso, não precisaram arrombar nada: pegaram a chave de alguém e usaram. É um tipo de ataque comum justamente porque dá menos trabalho do que procurar um defeito no sistema.

A Meta contou a história de um jeito que tenta reduzir o susto. De acordo com a empresa, 99% do material comprometido era código relacionado a alguns de seus produtos. O 1% restante eram dados pessoais que estavam ali por engano, e boa parte seria sintética ou anonimizada, ou seja, informação fabricada para testes ou sem ligação direta com uma pessoa real. A companhia faz questão de dizer que seus sistemas internos não foram invadidos e que nenhuma vulnerabilidade dos seus produtos foi explorada.

Vale ler essa versão com os pés no chão. O que a empresa afirma é uma defesa legítima, mas parte dela depende de confiar na própria contagem da Meta. E há um detalhe que pesa: guardar dados pessoais num repositório de código não deveria acontecer. Que isso tenha ocorrido, mesmo que por descuido, mostra que a segurança de uma gigante também depende de hábitos de quem trabalha lá dentro, e não só de firewall caro.

Quem é afetado, de fato? Os 1.500 nomes do aviso, em maioria empregados da própria Meta. Quem usa Instagram, Facebook ou WhatsApp no dia a dia não aparece como alvo nessa história, e nada indica, pelo que a empresa divulgou, que contas de usuários tenham sido expostas. Isso não impede que o código levado tenha valor: ele pode ajudar alguém a entender como um produto funciona por dentro e a procurar falhas com mais calma no futuro.

O que fica para observar é o tamanho real do estrago. A Meta não detalha quais produtos tiveram código levado nem quanto tempo os invasores ficaram lá dentro. Também falta saber quem está por trás do ataque. Se algum trecho do código vazado aparecer à venda ou publicado, a conversa muda de figura.

Para o leitor comum, a lição é menos distante do que parece. O elo mais frágil, de novo, foi uma senha. Se a Meta, com as equipes de segurança que tem, tropeça nisso, a sua conta também merece atenção. Ative a verificação em duas etapas onde puder, não repita a mesma senha em vários serviços e desconfie de mensagens que pedem para você entrar em algum lugar às pressas. Nenhuma dessas medidas é novidade, e é justamente por isso que tanta gente continua pulando todas elas.