Meta تبلغ نحو 1,500 شخص بتسرب بياناتهم بعد دخول مهاجمين مستودعات GitHub خاصة عبر حساب موظف

بدأت Meta في 13 أكتوبر 2026 إبلاغ نحو 1,500 شخص بأن بيانات تخصهم تسربت، بحسب تصريح الشركة كما نقله موقع SecurityWeek. ولم تنشر Meta بيانًا على غرفة أخبارها، فالمعلومات كلها من تصريحها للصحافة.

ولم يدخل المهاجمون عبر ثغرة في منتج، ولا عبر اختراق للأنظمة الداخلية. بل استخدموا حساب موظف واحد مسروقًا للوصول إلى repositories خاصة على GitHub، وأخذوا منها كود منتجات.

وتقول Meta إن 99% مما تسرب بيانات عمل، أي كود. أما الـ 1% الباقي فبيانات شخصية وضعها أحدهم في المستودع بالخطأ، في مخالفة لسياسة الشركة نفسها. وتضيف أن جزءًا كبيرًا من هذه البيانات كان مصطنعًا أو مجهول الهوية، فلن يتمكن المهاجم من التمييز بين الحقيقي منها وبيانات الاختبار. وهذا قد يكون صحيحًا، لكنه لا يغيّر شيئًا بالنسبة إلى الأشخاص الذين أُبلغوا.

وهذا النوع من التسرب شائع في فرق كثيرة. ملف CSV للتجربة، أو نسخة من قاعدة بيانات فيها عناوين بريد حقيقية، أو لقطة شاشة فيها بيانات عميل، أو سطر في test fixture. كلها تدخل المستودع كأنها كود، وتبقى في سجل git حتى لو حُذفت لاحقًا من الملفات الحالية.

وبحسب تصريحها، غيّرت Meta كل الـ secrets في المستودعات المتأثرة، وأضافت قيودًا تمنع إدخال بيانات المستخدمين إلى GitHub، وشغّلت فحصًا استباقيًا يرصد ما يُضاف بالخطأ. وتوجد أدوات مفتوحة المصدر تؤدي المهمة نفسها في أي فريق، مثل gitleaks وtrufflehog لفحص السجل، وBFG لتنظيفه، إضافة إلى خاصية secret scanning المدمجة في GitHub.

ويبقى السجل نفسه هو الخطر الأقل ظهورًا، إذ إن ما دخل المستودع قبل سنوات قد يكون ما يزال هناك، ينتظر أول حساب مسروق.