Ein einzelnes gestohlenes Mitarbeiter-Passwort hat Meta ein ernstes Sicherheitsproblem beschert. Mit diesem Passwort gelangten unbekannte Angreifer in die GitHub-Code-Depots des Unternehmens. Im Zentrum des Vorfalls stehen die Daten von rund 1.500 Meta-Beschäftigten, von denen der Großteil laut Unternehmensangaben in den USA tätig ist.

Nach offiziellen Angaben von Meta konnten die Angreifer nicht auf interne Netzwerke oder Server des Konzerns zugreifen. Der Angriff richtete sich also nicht gegen die internen Systeme, sondern ausschließlich gegen extern gehostete Code-Depots.

Was wurde gestohlen?

Der überwiegende Teil der erbeuteten Daten besteht nicht aus persönlichen Informationen, sondern aus Quellcode und Geschäftsgeheimnissen des Unternehmens. Laut offizieller Aufteilung machen diese Kategorie 99 % der Daten aus, nur 1 % sind tatsächlich personenbezogene Daten. Auffällig: Diese persönlichen Daten waren versehentlich in die GitHub-Depots hochgeladen worden. Das Problem war also nicht nur das kompromittierte Passwort, sondern auch, dass sensible Informationen am falschen Ort lagen.

Echte Datensätze und Testdaten vermischt

Nicht jeder Datensatz aus dem geleakten Paket lässt sich einem echten Meta-Mitarbeiter zuordnen. Ein Teil der Daten stammte aus anonymisierten oder synthetischen Profilen, die für Softwaretests angelegt worden waren. Das bedeutet, dass ein Teil der Informationen in den Händen der Angreifer gar nicht realen Personen zuzuordnen ist. Die existence der Fake-Datensätze ändert jedoch nichts daran, dass sich in den Depots auch Daten echter Beschäftigter befanden.

Meta reagierte rasch

Nach der Entdeckung des Leaks sperrte Meta umgehend den Depot-Zugang der Angreifer und leitete eine forensische Untersuchung ein. Auch geheime API-Schlüssel wurden erneuert.

Für die betroffenen Beschäftigten bietet das Unternehmen Unterstützung an: Kreditüberwachung zum Schutz vor Identitätsdiebstahl sowie Dienste, die prüfen, ob persönliche Daten auf illegalen Plattformen im Umlauf sind.

Auch wenn die internen Systeme verschont blieben: Dass Quellcode und einige persönliche Daten in fremde Hände gerieten, ist für Meta ein ernstes Warnsignal. Die versehentlich in die Depots hochgeladenen Informationen zeigen zudem eine weitere Schwachstelle in der Sicherheitskette auf.