हैकर्स के हाथ लगा मेटा का सीक्रेट कोड: क्रेडेंशियल्स चोरी होने से 1,500 लोग प्रभावित, कंपनी ने क्या कदम उठाए?
मेटा के गिटहब (GitHub) रिपॉजिटरी में एक अनधिकृत घुसपैठ का मामला सामने आया है, जिसकी वजह से कंपनी का सॉफ्टवेयर डेवलमेंट कोड, बिजनेस कोड और करीब 1500 लोगों की जानकारी लीक हो गई है। कंपनी का कहना है कि यह ब्रीच उनके किसी प्रोडक्ट या इंटरनल सिस्टम में खराबी की वजह से नहीं, बल्कि एक कर्मचारी के क्रेडेंशियल्स (लॉगिन डिटेल्स) चोरी होने की वजह से हुआ है। आइए जानते हैं क्या है पूरा मामला..
विस्तार
सोचिए, जिस कंपनी के प्लेटफॉर्म पर करोड़ों लोग अपनी तस्वीरें, वीडियो और निजी बातचीत शेयर करते हैं, उसी कंपनी की कुछ सॉफ्टवेयर फाइल्स तक किसी बाहरी व्यक्ति की पहुंच हो जाए तो? कुछ ऐसा कही मामला सामने आया है। कंपनी के गिटहब रिपॉजिटरीज तक पहुंच बनाए जाने के बाद सॉफ्टवेयर डेवलपमेंट से जुड़ा मटीरियल, बिजनेस डेटा और सीमित व्यक्तिगत जानकारी सामने आई है।
मेटा इस घटना के बारे में करीब 1,500 लोगों से संपर्क कर रही है। कंपनी के अनुसार, यह घुसपैठ कर्मचारी के चोरी हुए लॉगिन क्रेडेंशियल्स के जरिए हुई। मेटा ने स्पष्ट किया है कि उसके किसी प्रोडक्ट में सुरक्षा खामी सामने नहीं आई और न ही उसके आंतरिक सिस्टम में सेंध लगी। हालांकि, रिपॉजिटरीज में मौजूद डेटा को लेकर कंपनी को अतिरिक्त सुरक्षा कदम उठाने पड़े हैं।
क्या है पूरा मामला?
- मेटा के GitHub रिपॉजिटरीज तक किसी अनधिकृत व्यक्ति यानी की अनऑथराइज्ड पर्सन ने पहुंच हासिल कर ली थी। बता दें कि गिटहब एक ऐसा प्लेटफॉर्म है, जहां डेवलपर्स सॉफ्टवेयर का सोर्स कोड स्टोर करते हैं, उसमें बदलाव करते हैं और टीम के अन्य सदस्यों के साथ मिलकर काम करते हैं।
- इस मामले में सामने आए मटीरियल में सॉफ्टवेयर डेवलपमेंट से जुड़ी फाइल्स, कुछ प्रोडक्ट्स का कोड और बिजनेस संबंधी जानकारी शामिल थी। इसके अलावा, थोड़ी मात्रा में व्यक्तिगत जानकारी भी उजागर हुई, जिसे रिपॉजिटरीज में मौजूद नहीं होना चाहिए था। इसके बाद कंपनी ने प्रभावित लोगों को सूचित करना शुरू किया। इसकी जानकारी कई हफ्ते पहले हुई ळाी, जिसके बाद अब जांच के आधार पर कार्रवाई की जा रही है।
- जिन लोगों को नोटिफिकेशन भेजे जा रहे हैं, उनमें ज्यादातर अमेरिका में रहने वाले लोग हैं और उसमें भी अधिकतर मेटा के ही कर्मचारी हैं। हालांकि, कंपनी ने यह स्पष्ट नहीं किया है कि प्रभावित लोगों में कितने ऐसे हैं जो उसके कर्मचारी नहीं हैं।
चोरी हुए कर्मचारी क्रेडेंशियल्स से मिली पहुंच
- मेटा के अनुसार, एक बाहरी समूह ने कर्मचारी के समझौता किए गए लॉगिन क्रेडेंशियल्स का इस्तेमाल करके रिपॉजिटरीज तक पहुंच बनाए। क्रेडेंशियल्स में लॉगिन से जुड़ी ऐसी जानकारी शामिल होती है, जिसके जरिए किसी अकाउंट या सिस्टम में प्रवेश किया जा सकता है। घटना का पता चलने के बाद मेने अनधिकृत पहुंच को ब्लॉक किया और GitHub के साथ-साथ कानून प्रवर्तन एजेंसियों से भी मदद मांगी।
- कंपनी ने SecurityWeek को बताया कि लिए गए मटीरियल का लगभग 99 प्रतिशत बिजनेस जानकारी थी। इसमें मेटा के कुछ प्रोडक्ट्स से संबंधित सॉफ्टवेयर कोड भी शामिल था। बाकी हिस्सा व्यक्तिगत डेटा का था, लेकिन कंपनी ने यह नहीं बताया कि उसमें किस तरह की जानकारी मौजूद थी। इसलिए अभी यह स्पष्ट नहीं है कि उजागर हुई व्यक्तिगत जानकारी में फोन नंबर, ईमेल पते, वित्तीय विवरण या किसी अन्य प्रकार का संवेदनशील डेटा शामिल था या नहीं।
- मेटा के अनुसार, कुछ व्यक्तिगत जानकारी गलती से GitHub रिपॉजिटरीज में अपलोड हो गई थी। जो की कंपनी के आंतरिक नियमों के खिलाफ था। सॉफ्टवेयर डेवलपमेंट के दौरान टीमें कोड की जांच और फीचर्स को परखने के लिए अलग-अलग तरह की फाइलों और डेटा का इस्तेमाल करती हैं, लेकिन अगर वास्तविक यूजर्स की जानकारी गलती से इन फाइल्स में शामिल हो जाए, तो वह उन लोगों की पहुंच में आ सकती है जिन्हें इसे देखने की अनुमति नहीं होनी चाहिए।
- मेटा ने यह भी कहा कि व्यक्तिगत जानकारी जैसी दिखने वाली सामग्री का बड़ा हिस्सा वास्तव में टेस्टिंग के लिए इस्तेमाल किया जाने वाला सिंथेटिक या अनामांकित डेटा था। सिंथेटिक डेटा ऐसा डेटा होता है जिसे परीक्षण के लिए बनाया जाता है, जबकि अनलेब्ल्ड डेटा में किसी व्यक्ति की पहचान सीधे उजागर करने वाली जानकारी हटाई या बदली जा सकती है। हालांकि, कंपनी ने यह नहीं बताया कि असली और टेस्टिंग वाले डेटा को अलग करने के लिए किस प्रक्रिया का इस्तेमाल किया गया। इसलिए यह दावा नहीं किया जा सकता कि उजागर हुई सभी फाइल्स में वास्तविक लोगों की जानकारी थी या फिर किसी वास्तविक जानकारी का इस्तेमाल किया गया था।
मेटा ने इस मामले में एक अंतर बताया है। कंपनी का कहना है कि यह घटना उसके किसी प्रोडक्ट में मौजूद वल्नरेबिलिटी यानी तकनीकी खामी की वजस से नहीं हुई। कंपनी ने यह भी कहा कि उसके आंतरिक सिस्टम में ब्रीच नहीं हुआ। मेटा के प्रवक्ता ने कहा कि यह किसी भी मेटा प्रोडक्ट में वल्नरेबिलिटी नहीं थी और मेटा के आंतरिक सिस्टम में ब्रीच नहीं हुआ।
कंपनी के मुताबिक, GitHub और उससे जुड़ी जांच के आधार पर अब तक ऐसा मानने का कोई कारण नहीं मिला कि हमलावर खास तौर पर मेटा की जानकारी हासिल करने के इरादे से आए थे। हालांकि, कंपनी ने हमलावरों की पहचान नहीं बताई और न ही इस बात का कोई सबूत सार्वजनिक किया है कि उन्होंने जानबूझकर मेटा को निशाना बनाया था।
फिर भी, किसी प्रोडक्ट में खामी नहीं होने का मतलब यह नहीं है कि उजागर हुई फाइलों से कोई जोखिम पैदा नहीं हो सकता। सोर्स कोड से सॉफ्टवेयर की कार्यप्रणाली के बारे में जानकारी मिल सकती है। वहीं, फाइलों में मौजूद वैध API कीज, पासवर्ड या ऑथेंटिकेशन टोकन्स का इस्तेमाल अन्य सेवाओं तक पहुंच बनाने के लिए किया जा सकता है।
मेटा ने क्या कदम उठाए?
इस घटना के बाद मेटा ने प्रभावित रिपॉजिटरीज में पहचाने गए सीक्रेट्स को बदल दिया है। इनमें एपीआई कीज, ऑथेंटिकेशन टोकन्स और पासवर्ड शामिल हो सकते हैं। इनका इस्तेमाल सॉफ्टवेयर और अलग-अलग ऑनलाइन सेवाओं के बीच सुरक्षित संपर्क स्थापित करने के लिए किया जाता है। अगर ऐसी जानकारी किसी अनधिकृत व्यक्ति के हाथ लग जाए और वह अब भी वैध हो, तो उसका गलत इस्तेमाल किया जा सकता है।
हालांकि, मेटा ने यह नहीं बताया कि नए सीक्रेट्स लागू होने से पहले किसी ने उजागर हुए क्रेडेंशियल्स का इस्तेमाल किया था या नहीं। कंपनी ने बाहरी लोगों के बिजनेस डेटा तक पहुंचने का जोखिम कम करने के लिए अन्य सुरक्षा उपाय भी मजबूत किए हैं।
गिटहब पर डेटा अपलोड होने से रोकने के लिए नए कंट्रोल्स
- मेटा अब गिटहब इस्तेमाल करने वाली अपनी टीमों के साथ काम कर रही है, ताकि व्यक्तिगत जानकारी गलती से रिपॉजिटरीज में अपलोड न हो। कंपनी ऐसे अतिरिक्त सुरक्षा कंट्रोल्स पेश कर रही है, जो रिपॉजिटरीज में मौजूद मटीरियल को सक्रिय रूप से स्कैन करेंगे। इनका उद्देश्य गलत जगह पर मौजूद यूजर डेटा की पहचान करना और उसे फ्लैग करना है।
- मेटा ने अपनी रिपॉजिटरीज की सुरक्षा मजबूत करने के लिए GitHub के साथ भी काम किया है। हालांकि, इन नए उपायों की प्रभावशीलता का स्वतंत्र रूप से सत्यापन नहीं हुआ है। इसका मतलब है कि कंपनी ने सुरक्षा बढ़ाने के कदम उठाए हैं, लेकिन अभी उपलब्ध जानकारी के आधार पर यह नहीं कहा जा सकता कि भविष्य में इस तरह की हर घटना को पूरी तरह रोक दिया जाएगा।
प्रभावित लोगों को मिलेगी क्रेडिट और डार्क वेब मॉनिटरिंग
- मेटा की प्रतिक्रिया में प्रभावित लोगों को क्रेडिट मॉनिटरिंग और डार्क वेब मॉनिटरिंग सेवाएं शामिल है। क्रेडिट मॉनिटरिंग से कुछ प्रकार की संदिग्ध गतिविधियों या क्रेडिट रिकॉर्ड में होने वाले बदलावों पर नजर रखने में मदद मिल सकती है।
- वहीं, डार्क वेब मॉनिटरिंग का उद्देश्य यह पता लगाने में मदद करना है कि किसी व्यक्ति से जुड़ी जानकारी उन ऑनलाइन जगहों पर दिखाई दे रही है या नहीं, जहां चोरी किए गए डेटा का कारोबार हो सकता है। कंपनी संबंधित नियामकों को भी सूचित कर रही है। हालांकि, मेटा ने यह नहीं बताया कि किन नियामक एजेंसियों को जानकारी दी गई है। जिन प्रभावित लोगों को कंपनी की ओर से नोटिफिकेशन मिलेगा, वे उसमें बताए गए तरीके से उपलब्ध मॉनिटरिंग सेवाओं का इस्तेमाल कर सकते हैं। Meta ने आम जनता के लिए किसी विशेष कार्रवाई की घोषणा नहीं की है।
जांच में अभी कौन-सी बातें साफ नहीं हैं?
इस घटना को लेकर कई सवालों के जवाब अभी सार्वजनिक नहीं हुए हैं। जैसे की कंपनी ने यह नहीं बताया कि सामने आए सोर्स कोड में उसके कौन-कौन से प्रोडक्ट्स शामिल थे। यह भी स्पष्ट नहीं है कि कितने प्रभावित लोग कंपनी के कर्मचारी नहीं हैं या जांचकर्ताओं को व्यक्तिगत जानकारी के वास्तविक इस्तेमाल का कोई सबूत मिला है या नहीं। इसके अलावा, व्यक्तिगत डेटा की सटीक श्रेणियां भी सामने नहीं आई हैं। इसलिए घटना को केवल नाम, ईमेल या वित्तीय जानकारी के लीक के रूप में परिभाषित करना अभी संभव नहीं है।
कंपनी ने कहा है कि उसे फिलहाल ऐसा मानने का कोई कारण नहीं मिला कि हमलावर विशेष रूप से Meta के डेटा की तलाश कर रहे थे। लेकिन इस जानकारी से यह साबित नहीं होता कि उजागर सामग्री का इस्तेमाल नहीं किया गया।
GitHub की सुरक्षा पर पहले भी उठ चुके हैं सवाल
यह घटना सॉफ्टवेयर डेवलपमेंट प्लेटफॉर्म और कोड रिपॉजिटरीज की सुरक्षा को लेकर व्यापक चिंताओं के बीच सामने आई है। मई 2026 में गिटहब ने पुष्टि की थी कि एक कर्मचारी की ओर से मैलिशियस विजुअल स्टूडियो कोड एक्सटेंशन इंस्टॉल किए जाने के बाद उसके करीब 3,800 आंतरिक रिपॉजिटरीज चोरी हो गए थे।
हालांकि, मेटा के मामले में उपलब्ध जानकारी दोनों घटनाओं के बीच किसी संबंध की पुष्टि नहीं करती। इन्हें अलग-अलग सुरक्षा घटनाओं के रूप में ही देखना चाहिए। ये मामले इस बात की याद दिलाते हैं कि केवल मुख्य प्रोडक्ट या सर्वर को सुरक्षित रखना पर्याप्त नहीं है। डेवलपमेंट टूल्स, कर्मचारियों के लॉगिन, सोर्स कोड और टेस्टिंग फाइलों की सुरक्षा भी उतनी ही जरूरी है।