Meta, la maison mère de Facebook, Instagram et WhatsApp, confirme avoir été victime d’une cyberattaque ayant permis le vol de code source et de données personnelles concernant environ 1 500 personnes. Des pirates sont parvenus à accéder à plusieurs dépôts GitHub de l’entreprise en utilisant les identifiants dérobés d’un employé.
L’incident, détecté il y a plusieurs semaines, a été officiellement confirmé ce 13 octobre 2026 par le géant américain auprès du média spécialisé SecurityWeek. Meta reconnaît que la quasi-totalité des informations dérobées correspond à du code logiciel appartenant à l’entreprise, mais également que des données personnelles avaient été stockées par erreur dans ces dépôts.
Un compte employé compromis permet d’accéder au code source de Meta
Selon les premières conclusions de l’enquête, les attaquants ont utilisé des identifiants volés appartenant à un employé de Meta pour accéder sans autorisation à plusieurs dépôts de code hébergés sur GitHub, une plateforme largement utilisée par les développeurs pour stocker et gérer leurs projets logiciels.
Une fois cet accès obtenu, les pirates ont pu récupérer des données professionnelles internes, notamment du code source associé à certains produits de Meta. L’entreprise n’a pas précisé quels logiciels étaient concernés, ni combien de dépôts avaient été consultés ou copiés.
Meta indique avoir identifié l’intrusion plusieurs semaines avant sa communication publique. Ses équipes de sécurité ont depuis interrompu les accès des attaquants et engagé des investigations avec GitHub et les autorités compétentes.
99 % de données professionnelles volées, mais 1 500 personnes concernées
Les premières estimations communiquées par Meta permettent de mieux comprendre la nature des informations exfiltrées. Selon l’entreprise, 99 % des données dérobées correspondent à des informations professionnelles, principalement du code source lié à ses produits.
Le 1 % restant contient des données personnelles concernant environ 1 500 personnes, majoritairement des employés de Meta basés aux États-Unis.
Mais un élément interpelle particulièrement : ces informations personnelles n’auraient jamais dû être présentes dans les dépôts GitHub concernés.
Meta reconnaît que ces données y ont été ajoutées par erreur, en violation de ses propres règles internes de sécurité. L’entreprise n’a pas détaillé leur nature exacte, laissant pour le moment plusieurs interrogations sur leur sensibilité.
Elle précise toutefois qu’une partie importante des informations ressemblant à des données personnelles correspondrait en réalité à des données de test synthétiques ou anonymisées. Cette particularité pourrait compliquer la distinction entre les véritables informations personnelles et les données fictives pour les pirates.
Meta affirme que ses systèmes internes n’ont pas été compromis
Dans sa réponse à SecurityWeek, Meta insiste sur un point : l’incident ne résulterait ni de l’exploitation d’une vulnérabilité dans ses produits, ni d’une compromission de ses systèmes informatiques internes.
Selon l’entreprise, l’accès non autorisé se serait limité aux dépôts GitHub accessibles avec les identifiants compromis. Les investigations menées avec GitHub n’ont pas non plus permis, à ce stade, d’établir que les attaquants ciblaient spécifiquement Meta.
Cette distinction est importante : les éléments communiqués confirment bien une intrusion et une exfiltration de données, sans démontrer pour autant une compromission généralisée de l’infrastructure de Meta ou des comptes Facebook, Instagram et WhatsApp.
Des secrets présents dans les dépôts ont également dû être renouvelés
Au-delà du code source et des informations personnelles, Meta indique avoir procédé au renouvellement des secrets techniques identifiés dans les dépôts concernés.
Dans un environnement de développement, ces secrets peuvent notamment correspondre à des clés d’API, des jetons d’authentification ou d’autres informations utilisées pour accéder à des services. Leur présence dans du code récupéré par des attaquants représente un risque potentiel d’accès non autorisé à d’autres ressources, lorsqu’ils sont encore valides.
Meta n’a toutefois pas précisé quels types de secrets ont été renouvelés, ni indiqué que les pirates les auraient effectivement exploités.
L’entreprise explique également avoir renforcé ses contrôles de sécurité, notamment en mettant en place de nouveaux mécanismes de détection destinés à repérer les données personnelles ajoutées accidentellement aux dépôts GitHub.
Les 1 500 personnes concernées commencent à être informées
Meta a commencé à notifier les personnes concernées ce mardi 13 octobre 2026. Des notifications sont également adressées aux autorités de régulation compétentes.
Les personnes touchées se voient proposer des services de surveillance du crédit et du dark web, afin de détecter d’éventuelles utilisations frauduleuses de leurs informations.
Plusieurs interrogations demeurent néanmoins. L’identité du groupe de pirates n’a pas été révélée, la quantité exacte de code source volée reste inconnue et aucune information publique ne permet pour le moment de confirmer une éventuelle mise en vente ou diffusion des données récupérées.
Cette cyberattaque illustre une nouvelle fois qu’un seul compte disposant d’autorisations sensibles peut devenir un point d’entrée majeur. Dans le cas de Meta, la compromission d’identifiants professionnels a suffi à exposer du code source, mais également des informations personnelles qui n’auraient jamais dû être stockées à cet emplacement.