Meta私有GitHub仓库被入侵：一名员工凭证失守，约1500人信息外流

一名员工的登录凭证，就够打开Meta的私有代码仓库了。

Meta本周确认，攻击者用窃取来的员工凭证进入了公司在GitHub上的部分私有仓库，拿走了软件代码，也拿走了约1500人的个人信息。受影响的人大多是Meta在美国的员工。

按Meta的说法，被盗数据里大约99%是业务数据，主要是代码；剩下1%是个人信息。

尴尬的就是这1%。

这些个人信息之所以会出现在代码仓库里，是因为有人违反了Meta自己的公司规定把它们放了进去。换句话说，如果内部规矩被遵守，这次泄露里本不该有任何员工资料。

Meta表示已经切断了未授权访问，通知了执法部门，并为受影响的人提供信用监控和暗网监控服务。公司还轮换了这些仓库里出现过的密钥，并加了管控，防止用户数据再被传上GitHub。Meta同时强调，内部系统没有被攻破，这次也不是哪个Meta产品存在漏洞。

还有不少问题没答案。凭证是怎么被偷的，涉及多少个仓库，攻击者是谁，入侵从什么时候开始，Meta都没有公开。泄露的个人信息具体包括哪些类型，也没说清楚。

代码泄露的后果往往比当下看到的更长。攻击者拿到源码，可以慢慢翻里面的逻辑、配置和可能遗漏的敏感信息。Meta轮换密钥是必要动作，但仓库里的代码已经回不来了。

大厂的安全预算再高，一个账号的口令和一条没被执行的规定，就能把防线撕开。