Η διαρροή δεδομένων της Meta αποκαλύπτει μια σοβαρή παραβίαση ασφαλείας, κατά την οποία hackers απέκτησαν πρόσβαση σε αποθετήρια λογισμικού της εταιρείας στο GitHub, υποκλέπτοντας πηγαίο κώδικα και προσωπικές πληροφορίες περίπου 1.500 ανθρώπων.
Η εταιρεία επιβεβαίωσε το περιστατικό χθες 13 Οκτωβρίου 2026, διευκρινίζοντας ότι οι περισσότεροι επηρεαζόμενοι είναι εργαζόμενοί της στις Ηνωμένες Πολιτείες. Σύμφωνα με την επίσημη ενημέρωση, το 99% των δεδομένων που αφαιρέθηκαν αφορούσε εταιρικό λογισμικό, ενώ το υπόλοιπο 1% περιλάμβανε προσωπικές πληροφορίες.
Το σημαντικότερο στοιχείο της υπόθεσης δεν είναι μόνο η ποσότητα των δεδομένων που εκτέθηκαν, αλλά ο τρόπος με τον οποίο πραγματοποιήθηκε η επίθεση. Οι δράστες δεν χρειάστηκε να παραβιάσουν κάποιο προηγμένο σύστημα προστασίας της Meta. Χρησιμοποίησαν κλεμμένα στοιχεία πρόσβασης εργαζομένου και εισήλθαν σε αποθετήρια κώδικα που χρησιμοποιούσε η εταιρεία.
Το περιστατικό αναδεικνύει μια από τις μεγαλύτερες προκλήσεις της σύγχρονης κυβερνοασφάλειας: ακόμη και οι μεγαλύτεροι τεχνολογικοί οργανισμοί μπορούν να εκτεθούν όταν παραβιάζεται ένας λογαριασμός με πρόσβαση σε ευαίσθητες εταιρικές πληροφορίες.
Πώς οι hackers απέκτησαν πρόσβαση στον κώδικα της Meta
Σύμφωνα με όσα γνωστοποίησε η Meta, η εισβολή εντοπίστηκε μερικές εβδομάδες πριν από τη δημόσια ανακοίνωση, χωρίς να έχει προσδιοριστεί η ακριβής ημερομηνία της επίθεσης.
Μια εξωτερική ομάδα χρησιμοποίησε κλεμμένα διαπιστευτήρια εργαζομένου για να αποκτήσει μη εξουσιοδοτημένη πρόσβαση σε ορισμένα αποθετήρια GitHub.
Από εκεί κατάφερε να αντιγράψει αρχεία που περιείχαν πηγαίο κώδικα προϊόντων της Meta και περιορισμένο αριθμό προσωπικών πληροφοριών.
Η ομάδα ασφαλείας της εταιρείας απέκλεισε την πρόσβαση των δραστών και ξεκίνησε έρευνα σε συνεργασία με το GitHub και τις αρμόδιες διωκτικές αρχές.
Η Meta υποστηρίζει ότι δεν παραβιάστηκαν τα εσωτερικά της συστήματα και ότι η επίθεση δεν προέκυψε από ευπάθεια σε κάποιο προϊόν της.
Αυτή η διευκρίνιση έχει σημασία, καθώς δεν υπάρχουν στοιχεία ότι οι hackers απέκτησαν πρόσβαση στους λογαριασμούς χρηστών του Facebook, του Instagram ή του WhatsApp.
Επίσης, δεν έχει αναφερθεί γενικευμένη παραβίαση της υποδομής του GitHub.
Το 99% ήταν εταιρικός κώδικας – Γιατί αυτό δεν σημαίνει μικρότερο κίνδυνο
Η Meta υποστηρίζει ότι σχεδόν το σύνολο των δεδομένων που αφαιρέθηκαν αφορούσε λογισμικό συνδεδεμένο με προϊόντα της.
Η αναλογία αυτή δεν είναι απαραίτητα καθησυχαστική.
Ο πηγαίος κώδικας αποτελεί πολύτιμο εταιρικό περιουσιακό στοιχείο και, ανάλογα με το περιεχόμενό του, μπορεί να αποκαλύπτει λεπτομέρειες για την αρχιτεκτονική και τη λειτουργία εφαρμογών.
Σε ορισμένες περιπτώσεις, τέτοιες πληροφορίες μπορούν να διευκολύνουν την αναζήτηση ευπαθειών ή την προετοιμασία πιο στοχευμένων επιθέσεων.
Η υποκλοπή κώδικα δεν σημαίνει αυτομάτως ότι ένα προϊόν είναι ευάλωτο. Ωστόσο, δημιουργεί πρόσθετους κινδύνους που πρέπει να αξιολογηθούν ακόμη και όταν δεν έχουν εκτεθεί μεγάλοι όγκοι προσωπικών δεδομένων.
Η Meta δεν έχει διευκρινίσει ποια προϊόντα αφορούσε ο κώδικας, πόσα αποθετήρια επηρεάστηκαν ή ποια ήταν η συνολική ποσότητα των αρχείων που αφαιρέθηκαν.
Πώς βρέθηκαν προσωπικά δεδομένα μέσα στο GitHub
Μια ιδιαίτερα προβληματική πτυχή της διαρροής δεδομένων της Meta είναι ότι οι προσωπικές πληροφορίες δεν θα έπρεπε να βρίσκονται στα συγκεκριμένα αποθετήρια.
Η εταιρεία παραδέχθηκε ότι είχαν καταχωριστεί κατά λάθος, κατά παράβαση των εσωτερικών πολιτικών της.
Το περιστατικό αναδεικνύει έναν γνωστό κίνδυνο στην ανάπτυξη λογισμικού: πραγματικά δεδομένα μπορεί να καταλήξουν σε περιβάλλοντα προγραμματισμού ή δοκιμών, ακόμη και όταν υπάρχουν κανόνες που απαγορεύουν την αποθήκευσή τους.
Η Meta διευκρίνισε ότι σημαντικό μέρος των αρχείων που έμοιαζαν με προσωπικές πληροφορίες περιείχε στην πραγματικότητα συνθετικά ή ανωνυμοποιημένα δεδομένα δοκιμών.
Αυτό ενδέχεται να δυσκολεύει τον διαχωρισμό πραγματικών και τεχνητών καταχωρίσεων από τους δράστες, χωρίς όμως να εξαλείφει τον κίνδυνο για όσους επηρεάστηκαν.
Μέχρι στιγμής δεν έχουν δημοσιοποιηθεί οι ακριβείς κατηγορίες προσωπικών δεδομένων που εκτέθηκαν.
Επομένως, δεν μπορεί να επιβεβαιωθεί εάν περιλαμβάνονταν διευθύνσεις κατοικίας, οικονομικά στοιχεία ή άλλες ευαίσθητες πληροφορίες.
Η Meta αλλάζει κλειδιά πρόσβασης και ενισχύει την προστασία
Μετά την ανακάλυψη της παραβίασης, η Meta προχώρησε στην αντικατάσταση διαπιστευτηρίων και κλειδιών πρόσβασης που εντοπίστηκαν στα επηρεαζόμενα αποθετήρια.
Η διαδικασία, γνωστή ως secret rotation, αποτελεί βασική πρακτική αντιμετώπισης περιστατικών ασφαλείας, καθώς περιορίζει τη δυνατότητα επαναχρησιμοποίησης υποκλαπέντων διαπιστευτηρίων.
Η εταιρεία ανακοίνωσε επίσης ότι ενισχύει τους ελέγχους ώστε να αποτρέπεται η αποθήκευση προσωπικών δεδομένων στο GitHub.
Στο πλαίσιο αυτό, προσθέτει μηχανισμούς αυτόματης σάρωσης για τον εντοπισμό ευαίσθητων πληροφοριών πριν ή μετά την καταχώρισή τους.
Το GitHub διαθέτει ήδη εργαλεία secret scanning και push protection, τα οποία μπορούν να εντοπίζουν ή να εμποδίζουν τη δημοσίευση ορισμένων τύπων διαπιστευτηρίων.
Ωστόσο, τέτοιες τεχνολογίες δεν αντικαθιστούν την ανάγκη περιορισμού των δικαιωμάτων πρόσβασης, προστασίας εταιρικών λογαριασμών και σωστής διαχείρισης δεδομένων.
Τι σημαίνει η παραβίαση για τους 1.500 επηρεαζόμενους
Η διαρροή δεδομένων της Meta επηρεάζει περίπου 1.500 ανθρώπους, οι περισσότεροι από τους οποίους εργάζονται στις ΗΠΑ.
Η εταιρεία ξεκίνησε να τους ενημερώνει στις 13 Οκτωβρίου, ενώ έχει ανακοινώσει ότι ειδοποιεί και τις αρμόδιες ρυθμιστικές αρχές.
Στους επηρεαζόμενους προσφέρονται υπηρεσίες παρακολούθησης πιστοληπτικών πληροφοριών και εντοπισμού πιθανής εμφάνισης δεδομένων τους στο dark web.
Η συγκεκριμένη παροχή αποτελεί προληπτικό μέτρο και δεν αποδεικνύει ότι οι hackers έχουν ήδη χρησιμοποιήσει τις πληροφορίες για απάτες.
Η Meta ανέφερε επίσης ότι, βάσει των μέχρι στιγμής ευρημάτων της έρευνας, δεν θεωρεί πως οι δράστες είχαν ως αρχικό και συγκεκριμένο στόχο τα δεδομένα της.
Δεν έχει ταυτοποιήσει δημόσια την ομάδα που πραγματοποίησε την επίθεση ούτε έχει εξηγήσει πώς υποκλάπηκαν τα διαπιστευτήρια του εργαζομένου.
Η υπόθεση αποκαλύπτει ένα πρόβλημα που δεν περιορίζεται στη Meta. Καθώς οι εταιρείες βασίζονται όλο και περισσότερο σε εξωτερικές πλατφόρμες ανάπτυξης λογισμικού, η προστασία του εταιρικού κώδικα εξαρτάται και από την ασφάλεια των λογαριασμών που έχουν πρόσβαση σε αυτόν.
Η διαρροή δεδομένων της Meta δείχνει ότι το πιο αδύναμο σημείο μιας μεγάλης εταιρείας δεν βρίσκεται απαραίτητα στις τεχνολογικές υποδομές της, αλλά ενδέχεται να είναι ένας μόνο λογαριασμός και τα δεδομένα που δεν θα έπρεπε ποτέ να έχουν αποθηκευτεί σε ένα αποθετήριο κώδικα.
