Meta xác nhận vụ tấn công kho lưu trữ GitHub làm rò rỉ mã nguồn và dữ liệu cá nhân

Các chuyên gia an ninh mạng vừa ghi nhận thông tin từ Meta xác nhận một vụ xâm nhập nghiêm trọng nhắm vào các kho lưu trữ GitHub của công ty, bắt nguồn từ việc thông tin xác thực của nhân viên bị kẻ xấu chiếm đoạt thay vì do lỗ hổng sản phẩm.

Chi tiết vụ tấn công và dữ liệu bị rò rỉ

Sự cố được hệ thống giám sát phát hiện vào tháng 10 năm 2026 sau khi ghi nhận các lượt truy cập bất thường. Kẻ tấn công đã lợi dụng thông tin xác thực bị đánh cắp để đột nhập vào các kho lưu trữ mã nguồn của hãng. Dù Meta cho biết các hệ thống cốt lõi nội bộ vẫn an toàn, dữ liệu kinh doanh quan trọng đã bị xâm phạm.

Thống kê cho thấy phần lớn dữ liệu bị rò rỉ chiếm tới 99% là mã nguồn phần mềm, trong khi 1% còn lại bao gồm các thông tin cá nhân nhạy cảm. Đáng chú ý, Meta thừa nhận những thông tin cá nhân này lẽ ra không được phép xuất hiện trong các kho lưu trữ GitHub, việc chúng bị đưa lên đây là do sơ suất và vi phạm quy định bảo mật nội bộ.

Biện pháp xử lý và bài học cho các tổ chức

Ngay sau khi phát hiện vụ việc, Meta đã lập tức triển khai các phương án khắc phục khẩn cấp nhằm ngăn chặn mối đe dọa tiếp diễn. Theo các chuyên gia từ SecurityWeek, việc đơn giản xóa bỏ các dữ liệu mật khỏi lịch sử commit là chưa đủ để giải quyết triệt để vấn đề.

Để đảm bảo an toàn tuyệt đối, các tổ chức buộc phải tiến hành quy trình thu hồi thông tin xác thực thông qua nhà cung cấp dịch vụ, đồng thời cấp phát các khóa mới nhằm vô hiệu hóa hoàn toàn quyền truy cập của kẻ tấn công bằng các khóa cũ.

Khuyến nghị bảo mật kho lưu trữ mã nguồn

Sự cố tại Meta được xem là hồi chuông cảnh tỉnh cho các doanh nghiệp trong việc quản lý kho lưu trữ mã nguồn. Các đội ngũ phát triển và bảo mật cần tuân thủ nghiêm ngặt những nguyên tắc sau:

Thứ nhất, tuyệt đối không để xảy ra tình trạng lưu trữ cứng thông tin nhạy cảm trong mã nguồn mà thay vào đó nên dùng các công cụ chuyên dụng như AWS Secrets Manager hay HashiCorp Vault. Thứ hai, bắt buộc áp dụng xác thực đa yếu tố cho toàn bộ tài khoản có quyền truy cập mã nguồn. Thứ ba, duy trì quy trình kiểm tra mã nguồn chặt chẽ nhằm sớm phát hiện các dữ liệu nhạy cảm bị đưa lên hệ thống do vô ý.

Sự kết hợp giữa công nghệ quét tự động và quản trị nhân sự hiệu quả đóng vai trò cốt lõi trong việc bảo vệ dữ liệu người dùng lẫn tài sản trí tuệ. Các đơn vị cũng nên thường xuyên theo dõi hướng dẫn từ GitHub để cập nhật tiêu chuẩn an ninh mạng mới nhất.