Meta bị xâm nhập GitHub: Mã nguồn và dữ liệu cá nhân của 1.500 người bị đánh cắp

Meta đang gửi thông báo đến khoảng 1.500 cá nhân, phần lớn là nhân viên làm việc tại Mỹ, rằng thông tin cá nhân của họ đã bị ảnh hưởng sau khi tin tặc xâm nhập vào một số kho lưu trữ GitHub của công ty. Vụ xâm nhập được phát hiện cách đây vài tuần, khi một nhóm bên ngoài giành được quyền truy cập nhờ thông tin đăng nhập bị đánh cắp của một nhân viên.

Meta bị tấn công qua GitHub

Diễn biến vụ việc

Theo thông tin từ Meta, nhóm tin tặc đã sử dụng thông tin đăng nhập bị đánh cắp của một nhân viên để truy cập trái phép vào các kho lưu trữ GitHub của công ty. Đội ngũ bảo mật của Meta đã nhanh chóng ngăn chặn quyền truy cập của kẻ tấn công, đồng thời phối hợp với GitHub và cơ quan thực thi pháp luật để điều tra.

Các thông báo đến những người bị ảnh hưởng bắt đầu được gửi đi từ thứ Ba vừa qua.

Dữ liệu bị đánh cắp: 99% là mã nguồn, 1% là dữ liệu cá nhân

Meta cho biết 99% dữ liệu mà tin tặc lấy được là dữ liệu kinh doanh, dưới dạng mã phần mềm liên quan đến một số sản phẩm của công ty. 1% còn lại là dữ liệu cá nhân.

Điều đáng chú ý là dữ liệu cá nhân này đã bị đưa lên các kho lưu trữ do nhầm lẫn, vi phạm chính sách của công ty vì không được phép lưu trữ dữ liệu người dùng trên GitHub. Meta không tiết lộ cụ thể loại thông tin cá nhân nào đã bị ảnh hưởng.

Công ty cũng lưu ý rằng một phần đáng kể dữ liệu trông giống như thông tin cá nhân thực chất là dữ liệu kiểm thử tổng hợp hoặc ẩn danh. Do đó, kẻ tấn công có thể khó phân biệt được đâu là bản ghi thật và đâu là dữ liệu thử nghiệm.

"Đây không phải là lỗ hổng trong bất kỳ sản phẩm nào của Meta, và hệ thống nội bộ của Meta cũng không bị xâm phạm. Dữ liệu kinh doanh của Meta lưu trữ trong kho GitHub đã bị truy cập trái phép bằng thông tin đăng nhập bị đánh cắp của một nhân viên – bao gồm một lượng nhỏ dữ liệu cá nhân của một số ít người, phần lớn là nhân viên Meta", đại diện Meta chia sẻ.

Đại diện Meta phát biểu về vụ việc

Biện pháp khắc phục

Dựa trên quá trình điều tra phối hợp với GitHub, Meta cho rằng nhóm tin tặc không nhắm mục tiêu cụ thể vào dữ liệu của công ty. Meta cũng đang thông báo cho các cơ quan quản lý, đồng thời cung cấp dịch vụ giám sát tín dụng và theo dõi dark web cho những người bị ảnh hưởng.

Để đối phó với sự cố, Meta đã thực hiện các biện pháp sau:

• Xoay vòng (rotate) các secret được tìm thấy trong các kho lưu trữ bị ảnh hưởng
• Tăng cường bảo mật sản phẩm để giải quyết các rủi ro phát sinh từ việc truy cập dữ liệu kinh doanh
• Phối hợp với các nhóm sử dụng GitHub để giữ dữ liệu người dùng ngoài nền tảng này
• Bổ sung lớp kiểm soát thứ hai với khả năng quét chủ động nhằm phát hiện dữ liệu người dùng bị tải lên do nhầm lẫn

"Chúng tôi đã xoay vòng các secret trong các kho lưu trữ, triển khai các biện pháp kiểm soát mới để ngăn chặn việc lưu trữ dữ liệu người dùng trên GitHub, và phối hợp với GitHub về các biện pháp bổ sung để bảo vệ kho lưu trữ của chúng tôi", đại diện Meta cho biết.

Bài học cho doanh nghiệp Việt Nam

Sự cố này là lời cảnh tỉnh cho các doanh nghiệp công nghệ, bao gồm cả các startup và công ty phần mềm tại Việt Nam – những nơi thường xuyên sử dụng GitHub để quản lý mã nguồn.

Việc vô tình đưa dữ liệu người dùng lên các nền tảng lưu trữ mã nguồn công khai là một sai sót phổ biến. Các chuyên gia bảo mật khuyến nghị doanh nghiệp nên:

• Quét tự động các kho lưu trữ để phát hiện thông tin nhạy cảm trước khi đẩy mã nguồn lên
• Quản lý chặt chẽ thông tin đăng nhập và triển khai xác thực đa yếu tố (MFA) bắt buộc
• Xoay vòng secret định kỳ và không lưu trữ khóa API trong mã nguồn
• Phân tách rõ ràng giữa dữ liệu kiểm thử và dữ liệu thật để tránh nhầm lẫn tai hại

Đối với người dùng cá nhân, việc các công ty công nghệ lớn như Meta bị xâm nhập cũng nhắc nhở chúng ta về tầm quan trọng của việc bảo vệ thông tin cá nhân và cảnh giác với các dịch vụ giám sát danh tính sau khi xảy ra sự cố rò rỉ dữ liệu.