Meta, dueña de Facebook e Instagram, ha confirmado una brecha de seguridad en parte de sus repositorios de GitHub, la plataforma donde aloja y gestiona código. La empresa empezó a avisar a los afectados el 13 de octubre de 2026 y sostiene que el incidente dejó al descubierto datos personales de unas 1.500 personas, además de permitir la extracción de código fuente.
Según la versión de Meta, el acceso lo obtuvo un grupo externo sin autorización usando credenciales robadas a empleados. La compañía recalca por eso que no hubo una vulnerabilidad en sus productos ni tampoco una intrusión directa en sus sistemas internos.
Meta añade que cerca del 99% del material sustraído corresponde a información corporativa, sobre todo código fuente guardado en ciertos repositorios de GitHub. El 1% restante incluía datos personales.
La mayor parte de las personas afectadas trabaja para Meta en Estados Unidos, siempre según la propia empresa. Así que, aunque casi todo lo robado era información empresarial, el golpe sobre las personas afectadas no fue precisamente menor.
La compañía no ha explicado con exactitud qué clase de datos personales fueron robados. Sí admite que esa información nunca debió estar en esos repositorios, porque se subió por error y en contra de la política interna. También afirma que una parte importante de lo que en un primer momento parecía información personal era, en realidad, datos sintéticos o anonimizados utilizados para pruebas. Ese matiz recorta parte del alcance del incidente, pero no lo borra: la propia Meta reconoce que sí hubo datos reales expuestos.
Meta también ha dicho que detectó la intrusión varias semanas antes de hacerla pública y que cortó el acceso de los atacantes en cuanto identificó la actividad.
Las notificaciones a los afectados empezaron el 13 de octubre de 2026. Meta asegura además que ha involucrado a GitHub, a las fuerzas de seguridad y a los reguladores competentes en la investigación. A eso suma la oferta de servicios de seguimiento del crédito y vigilancia de la web oscura para las personas afectadas por la filtración.
Por ahora, la empresa no ha señalado públicamente a los responsables ni ha aclarado cómo se robaron las credenciales usadas en el ataque. Tampoco ha concretado cuál puede ser el impacto a largo plazo del robo de código fuente, un activo valioso para actores maliciosos si lo usan para analizar productos o rastrear posibles puntos débiles. Mientras tanto, Meta ha cambiado las claves y credenciales localizadas en los repositorios comprometidos, ha reforzado la seguridad de sus productos, ha añadido controles extra para impedir que datos de usuarios terminen en GitHub por accidente y ha desplegado sistemas de escaneo proactivo para detectar nuevas subidas de información sensible.
