KALIMANTAN UTARA — Sekitar 1.500 orang menerima notifikasi pelanggaran data setelah peretas eksternal mengakses repositori GitHub milik Meta memakai kredensial login karyawan yang dicuri. Investigasi awal bersama GitHub menemukan mayoritas data yang diambil berupa kode perangkat lunak produk Meta, sementara hanya 1% berkategori data pribadi.
Sebanyak 99% dari data yang diambil terdiri atas kode perangkat lunak yang terhubung ke sejumlah produk Meta. Sisanya, sekitar 1%, merupakan data pribadi yang masuk ke repositori GitHub karena kelalaian internal, sebuah tindakan yang bertentangan dengan kebijakan perusahaan.
Meta belum mengungkap jenis data pribadi yang terlibat. Perusahaan menyebut porsi signifikan dari data tersebut merupakan data sintetis atau data uji coba yang dianonimkan, sehingga peretas akan sulit memisahkan rekam data asli dari data pengujian.
Notifikasi resmi mulai dikirimkan kepada individu terdampak sejak Selasa lalu. Sebagian besar penerima notifikasi merupakan karyawan Meta di Amerika Serikat, dengan total sekitar 1.500 orang.
Meta memfasilitasi mereka yang terdampak dengan layanan pemantauan kredit dan pemantauan dark web. Insiden ini pertama kali terdeteksi beberapa pekan sebelum notifikasi dikirim.
Kelompok peretas luar memperoleh akses ke repositori kode dengan memanfaatkan kredensial login milik salah satu karyawan yang telah dicuri sebelumnya. Investigasi awal bersama GitHub menunjukkan peretas tampaknya tidak menyasar data pribadi tertentu secara spesifik.
Tim keamanan Meta langsung mencabut akses peretas setelah insiden terdeteksi. Perusahaan juga menggandeng GitHub dan penegak hukum untuk menelusuri insiden ini.
Juru bicara Meta menegaskan insiden ini murni akibat pencurian identitas akses karyawan, bukan karena celah keamanan pada sistem utama perusahaan.
"Ini bukan celah keamanan pada produk Meta mana pun, dan sistem internal Meta tidak mengalami peretasan. Data bisnis Meta yang tersimpan di repositori GitHub diakses secara tidak sah menggunakan kredensial karyawan yang dicuri--ini mencakup sejumlah kecil data pribadi milik segelintir orang, yang sebagian besar adalah karyawan Meta," jelas juru bicara Meta.
Meta melakukan rotasi kunci rahasia yang ditemukan di repositori terdampak sebagai tindakan pencegahan. Perusahaan juga memperketat keamanan produk untuk meminimalkan risiko akibat tereksposnya kode bisnis.
Lapisan pertahanan kedua ditambahkan berupa kontrol pemindaian proaktif. Sistem ini dirancang mengendus dan memblokir pengunggahan data pribadi pengguna secara otomatis jika ada karyawan yang tidak sengaja mengunggahnya ke GitHub di masa mendatang.
Insiden ini menambah daftar panjang kasus kebocoran data yang menimpa perusahaan teknologi global. Bagi pengguna Indonesia, kasus ini menjadi pengingat bahwa kredensial karyawan tetap menjadi titik lemah utama dalam rantai keamanan perusahaan digital, sekaligus menegaskan pentingnya tata kelola data internal sejalan dengan kewajiban pelindungan data pribadi yang berlaku di berbagai yurisdiksi.