Meta Ungkap Peretasan Repositori GitHub dan Notifikasi 1.500 Orang

Sekitar 1.500 orang menerima pemberitahuan dari Meta setelah sejumlah repositori GitHub milik perusahaan tersebut diakses secara ilegal oleh kelompok peretas. Mayoritas individu yang terdampak merupakan karyawan Meta di Amerika Serikat, dilansir dari Detik iNET. Insiden ini terungkap beberapa pekan sebelum pemberitahuan resmi mulai disampaikan.

Berdasarkan hasil penelusuran awal, pelaku memanfaatkan kredensial masuk milik seorang karyawan yang sebelumnya telah dicuri untuk mendapatkan akses ke repositori kode perusahaan. Meta menyatakan telah menghentikan akses tidak sah tersebut dan berkoordinasi dengan GitHub serta aparat penegak hukum. Pemberitahuan kepada individu terdampak mulai dikirimkan pada Selasa lalu.

Data yang diambil dari repositori terdampak didominasi informasi bisnis. Meta menjelaskan kepada SecurityWeek bahwa 99% data yang diakses merupakan kode perangkat lunak yang berkaitan dengan sejumlah produknya, sedangkan 1% sisanya berupa data pribadi.

Data pribadi tersebut diketahui ikut tersimpan di repositori GitHub akibat pengunggahan yang tidak disengaja. Praktik itu bertentangan dengan kebijakan internal Meta yang mengatur penyimpanan informasi perusahaan. Perusahaan belum mengungkapkan secara terperinci jenis informasi pribadi yang terpapar. Meski demikian, Meta menyebut sebagian besar data dalam kategori tersebut sebenarnya berupa data sintetis atau data pengujian yang telah dianonimkan.

Keberadaan data sintetis dan data uji coba yang dianonimkan dapat menyulitkan pelaku untuk membedakan informasi pengujian dari catatan yang benar-benar berasal dari individu. Namun, Meta tidak merinci jumlah pasti data pribadi yang terlibat maupun jenis informasinya.

Meta menyebut sistem utamanya tidak diretas

Temuan awal yang diperoleh melalui penyelidikan bersama GitHub menunjukkan bahwa pelaku tampaknya tidak secara khusus memburu informasi pribadi tertentu. Insiden tersebut dikaitkan dengan penyalahgunaan kredensial karyawan, bukan kelemahan keamanan pada produk Meta. Juru bicara Meta menegaskan bahwa akses ilegal terbatas pada data bisnis yang tersimpan di repositori GitHub.

Perusahaan juga menyatakan sistem internalnya tidak mengalami peretasan. Dalam keterangannya, juru bicara Meta menjelaskan:

"Ini bukan celah keamanan pada produk Meta mana pun, dan sistem internal Meta tidak mengalami peretasan. Data bisnis Meta yang tersimpan di repositori GitHub diakses secara tidak sah menggunakan kredensial karyawan yang dicuri--ini mencakup sejumlah kecil data pribadi milik segelintir orang, yang sebagian besar adalah karyawan Meta," jelas juru bicara Meta.

Sebagai bagian dari penanganan terhadap dampak insiden, Meta menyediakan layanan pemantauan kredit dan pemantauan dark web bagi individu yang terdampak. Layanan tersebut diberikan sebagai langkah pendampingan setelah sejumlah data pribadi diketahui ikut terakses.

Meta memperketat perlindungan repositori

Setelah insiden ditemukan, Meta mengganti kunci rahasia yang teridentifikasi berada di repositori terdampak. Perusahaan juga memperkuat pengamanan produk untuk mengurangi risiko yang mungkin timbul apabila kode bisnis kembali terekspos.

Selain mengganti kunci rahasia, Meta menambahkan mekanisme pemeriksaan proaktif sebagai lapisan perlindungan tambahan. Sistem tersebut dirancang untuk mendeteksi sekaligus memblokir pengunggahan data pribadi pengguna secara otomatis ke GitHub.

Kontrol pemindaian ini ditujukan untuk mencegah terulangnya kesalahan pengunggahan informasi sensitif oleh karyawan. Dengan mekanisme tersebut, data pribadi yang berpotensi dimasukkan ke repositori dapat diperiksa sebelum menimbulkan paparan serupa pada masa mendatang.