Meta GitHub 침해로 코드·개인정보 1,500명 유출

도난된 직원 인증정보로 Meta GitHub 저장소 침해, 1,500명 정보 노출

• 외부 공격자는 도난한 Meta 직원 인증정보로 GitHub 저장소에 접근해 제품 관련 코드와 일부 개인정보를 가져갔다.
• Meta는 자체 제품 취약점이나 내부 시스템 침해가 아니라며 GitHub와 조사하고, 공격자가 특정 데이터를 노린 정황도 없다고 밝혔다.
• 영향 대상은 약 1,500명이며 대부분 미국 내 Meta 직원이고, 탈취 자료는 제품 코드·업무 데이터·정책 위반으로 잘못 저장된 개인정보와 합성·익명화 테스트 데이터로 구성됐다.
• 탈취 자료의 99%는 제품 관련 소프트웨어 코드이고 1%는 개인정보였으며, 침입은 공개·통지 수 주 전 탐지돼 대응 시간이 확보됐다.
• Meta는 노출 저장소의 비밀값을 교체하고 사용자 데이터 저장을 차단했으며, 실수 업로드를 찾는 사전 검색 통제를 GitHub와 추가했다.
• 한국 기업과 공공기관도 GitHub에 업무자료를 집중할수록 인증정보 탈취와 잘못된 데이터 저장이 결합될 수 있어, 안전한 코드저장·자동검색 산업의 수요가 커진다.

정부는 공공·민간 개발 저장소의 인증정보 관리와 개인정보 자동탐지 기준을 점검하고, 국내 보안기업의 저장소 보안 제품 실증을 지원해야 한다.

주요 용어: 비밀값(서비스 접근에 쓰이는 인증정보), 합성 데이터(실제 개인정보를 모방해 만든 테스트 자료)

출처: SecurityWeek