Meta confirmó el robo de código de software y datos personales de unas 1,500 personas tras un acceso no autorizado a algunos de sus repositorios en GitHub. La mayoría de los afectados son empleados de la compañía en Estados Unidos.
SecurityWeek reportó el 13 de octubre de 2026 que, según Meta, los atacantes usaron credenciales robadas de un empleado. La compañía detectó la intrusión semanas antes, cortó el acceso e involucró a GitHub y a las autoridades.
Meta sostiene que sus sistemas internos no fueron vulnerados y que el incidente no explotó una falla de sus productos.
Datos personales que no debían estar en los repositorios
Según Meta, el 99% del material sustraído era código relacionado con algunos de sus productos y el 1% restante, información personal. Ese reparto describe lo robado, no el porcentaje de su plantilla afectada.
Security Boulevard recoge que los datos personales se habían incorporado por error, contra las normas internas. La compañía todavía no ha especificado qué categorías de información quedaron expuestas.
Parte de los registros que parecían personales eran sintéticos o estaban anonimizados para pruebas, según la empresa. La presencia de esos registros de prueba no descarta que también hubiera información real, como reflejan las notificaciones a los afectados.
Sustituir las claves no elimina los datos ya copiados
Tras el robo, Meta sustituyó los secretos que encontró en los repositorios. En desarrollo de software, esos secretos son credenciales de acceso, como contraseñas o tokens; el reporte de SecurityWeek no identifica qué tipos encontró la compañía.
La documentación de GitHub explica el alcance de esa medida: revocar o rotar una credencial impide que siga utilizándose para acceder. También advierte que limpiar un repositorio no borra las copias que otras personas hayan descargado y que la plataforma no puede eliminarlas de equipos ajenos.
Aplicado a este incidente, sustituir las claves aborda el riesgo de que vuelvan a usarse. La exposición de información personal requiere una respuesta adicional porque esa información puede seguir en las copias sustraídas. Esta distinción explica por qué una medida técnica de contención puede acompañarse de asistencia a las personas afectadas.
Security Boulevard informó que, según Meta, los usuarios habituales de sus plataformas no necesitan realizar ninguna acción. Ese mensaje se refiere al público general; las personas afectadas están recibiendo avisos específicos.
La empresa ofrece a los afectados monitoreo crediticio y de la dark web. También anunció controles preventivos para detectar información personal cargada por error en GitHub.
