[메타(Meta)] 직원 계정 탈취로 깃허브 저장소 침입…일부 제품 소스코드와 직원 등 약 1,500명 개인정보 유출_2026년 10월

페이스북·인스타그램 운영사 메타(Meta)가 외부 조직이 직원 1명의 탈취된 계정 정보로 회사 깃허브(GitHub) 저장소 일부에 침입해 일부 제품 소스코드와 약 1,500명(대부분 미국 직원)의 개인정보를 빼갔다고 확인했습니다. 메타는 개인정보가 회사 정책을 어기고 실수로 저장소에 올라가 있었다고 밝혔고, 2026년 10월 13일부터 피해자 통지를 시작했습니다.

□  개요 

   메타는 2026년 10월 13일(현지시간) 보안 전문매체 시큐리티위크(SecurityWeek)를 통해, 외부 조직이 회사 깃허브 저장소 일부에 무단 접근해 데이터를 빼갔다고 확인했습니다.
    메타에 따르면 공격자는 직원 1명의 탈취된 계정 정보로 일부 깃허브 저장소에 들어갔습니다. 메타는 몇 주 전 침입을 탐지해 공격자의 접근을 차단했고, 깃허브와 수사기관을 대응에 참여시켰습니다. 빼간 자료의 99%는 일부 제품의 소프트웨어 코드 같은 업무 데이터이고, 1%는 개인정보입니다. 개인정보 피해자는 약 1,500명이며 대부분 미국 내 메타 직원입니다.
    메타는 이 개인정보가 깃허브 저장을 금지한 회사 정책을 어기고 실수로 저장소에 올라가 있었다고 설명했습니다. 개인정보처럼 보이는 자료 중 상당수는 합성(가짜)·익명화된 테스트 데이터라고 덧붙였습니다. 메타 대변인은 "메타 내부 시스템은 침해되지 않았다"며, 메타 제품의 취약점 때문이 아니라 깃허브에 있던 업무 데이터에 부적절하게 접근한 사고라고 밝혔습니다.

 

□  사고내용 요약  

    1. 회사명 : 메타(Meta Platforms, Inc.)
    2. 사고유형
        - 직원 계정 정보 탈취를 통한 깃허브(GitHub) 저장소 무단 접근 및 소스코드·개인정보 유출
    3. 유출규모
        - 개인정보 약 1,500명(대부분 미국 내 메타 직원)
        - 유출 자료 구성 : 업무 데이터(일부 제품 소프트웨어 코드) 99%, 개인정보 1%
    4. 유출항목(세부 미공개)
        - 업무 데이터 : 일부 메타 제품의 소프트웨어 소스코드(대상 제품·저장소 수 미공개)
        - 개인정보 : 약 1,500명분(구체적 항목 미공개, 상당수는 합성·익명화 테스트 데이터라고 설명)
        - 비밀정보 : 저장소에 있던 API 키·액세스 토큰·비밀번호 등(메타가 전부 교체했다고 밝힘)

    5. 특이사항
        - 시스템 취약점이 아니라 직원 1명의 계정 정보 탈취가 침입 경로였으며, 계정 정보를 어떻게 빼앗겼는지와 다중인증(MFA) 적용 여부는 공개되지 않음
        - 개인정보는 회사 정책상 깃허브에 저장하면 안 되는데 실수로 저장소에 올라가 있던 것으로, 정책과 실제 개발 현장의 관리 사이에 틈이 있었음을 보여줌
        - 저장소 안에 API 키·토큰·비밀번호 같은 비밀정보도 있었고, 메타는 이를 모두 교체했다고 밝혔으나 교체 전에 악용됐는지는 공개하지 않음
        - 메타는 침입을 몇 주 전에 탐지했으나 공개·통지는 10월 13일에 이뤄짐
        - 지금까지의 조사로는 공격 조직이 메타를 특정해 노린 것은 아닌 것으로 보인다고 설명
        - 피해자에게 신용 모니터링·다크웹 모니터링 서비스를 제공하고, 규제기관에도 통지 중(구체적 기관 미공개)
        - 공격 조직의 정체, 침입 시작 시점, 유출 개인정보의 종류, 대상 제품은 공개되지 않음

□  사고대응 타임라인  

    - 침입 시점
        . 시점 미공개(직원 1명의 탈취된 계정 정보로 깃허브 저장소 일부 접근)
    - 2026년 9월 하순~10월 초(공개 '몇 주 전')
        . 메타 보안팀, 침입 탐지 및 공격자 접근 차단
        . 깃허브·수사기관과 공동 대응, 저장소 내 비밀정보(키·토큰 등) 교체
    - 2026년 10월 13일(현지시간)
        . 시큐리티위크를 통해 사고 공식 확인
        . 피해자 약 1,500명에게 통지 시작, 신용·다크웹 모니터링 제공
    - 2026년 10월 14일
        . 국내외 보안 매체 후속 보도(디지털투데이 등)
    - 진행 중
        . 규제기관 통지, 깃허브와 저장소 보호 강화, 실수로 올라간 개인정보 사전 탐지 체계 도입

□  개인정보 유출 관련 홈페이지 안내  

메타 입장(시큐리티위크 등 해외 보도 기준, 번역·요약)
※ 메타는 별도의 공개 공지 대신 언론을 통해 사고를 확인했으며, 피해자에게는 개별 통지하고 있습니다.

사고 내용
- 외부 조직이 직원의 탈취된 계정 정보를 이용해 메타 깃허브 저장소 일부에 접근했습니다.
- 몇 주 전 이를 탐지해 공격자의 접근을 차단했고, 깃허브와 수사기관을 대응에 참여시켰습니다.
- "메타 내부 시스템은 침해되지 않았으며, 이번 사고는 메타 제품의 취약점 때문이 아닙니다."

유출 자료
- 빼간 자료의 99%는 일부 제품의 소프트웨어 코드 등 업무 데이터이고, 1%가 개인정보입니다.
- 회사 정책상 깃허브에 개인정보를 저장하면 안 되지만, 실수로 저장소에 올라가 있었습니다.
- 개인정보처럼 보이는 자료 상당수는 합성 또는 익명화된 테스트 데이터입니다.

조치
- 해당 저장소에서 발견된 비밀정보(키·토큰 등)를 모두 교체하고, 노출된 업무 데이터로 생길 수 있는 위험에 대비해 제품 보안을 강화했습니다.
- 실수로 올라간 사용자 정보를 사전에 찾아내는 검사를 도입하고, 깃허브와 함께 저장소 보호 장치를 추가했습니다.
- 피해자에게 통지하고 신용 모니터링·다크웹 모니터링 서비스를 제공하며, 규제기관에도 통지하고 있습니다.
- 지금까지 조사로는 공격 조직이 메타 데이터를 특정해 노린 것은 아닌 것으로 보입니다.

□  대응내역  

    - (메타) 침입 탐지 후 공격자 접근 차단, 깃허브·수사기관과 공동 대응
    - (메타) 영향 받은 저장소의 비밀정보(API 키·토큰·비밀번호 등) 전부 교체, 제품 보안 강화
    - (메타) 10월 13일 피해자 약 1,500명 통지 시작, 신용·다크웹 모니터링 서비스 제공
    - (메타) 실수로 올라간 개인정보를 찾아내는 사전 검사 도입, 내부 팀과 깃허브 내 사용자 데이터 저장 방지 추진
    - (메타) 깃허브와 저장소 추가 보호 조치, 규제기관 통지
     ※ 침입 시작 시점, 계정 탈취 경로와 MFA 적용 여부, 유출 개인정보 종류, 대상 제품·저장소 수, 공격 조직 정체, 통지 대상 규제기관, 비밀정보 교체 전 악용 여부는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 깃허브 등 코드 저장소 접근에 피싱 방지형 다중인증(보안키 등) 필수화, 장기 개인 액세스 토큰(PAT) 사용 제한
        - 커밋 단계에서 비밀정보·개인정보를 자동으로 막는 스캐닝(Secret Scanning, Push Protection) 적용
        - 저장소별 최소 권한 부여, 대량 클론·다운로드 등 비정상 행위 탐지와 감사 로그 모니터링
        - 테스트에는 실제 개인정보 대신 합성 데이터만 사용하도록 기술적으로 강제
        - 코드에 하드코딩된 키·토큰을 비밀정보 관리 도구(Vault 등)로 옮기고 주기적으로 교체

    2. 관리적 조치
        - '코드 저장소 내 개인정보 저장 금지' 정책의 이행 여부를 정기 점검하고, 위반 시 즉시 삭제·보고 절차 마련
        - 개발자 대상 계정 탈취(인포스틸러·피싱) 예방 교육, 업무 계정과 개인 기기 분리
        - 소스코드 유출 시 제품 보안에 미칠 영향을 평가하는 대응 절차 정비
        - (국내 기업 시사점) 사내 깃허브·깃랩 저장소에 고객·임직원 개인정보나 운영 키가 올라가 있지 않은지 전수 점검 권고

□  관련기사(출처)  

• 메타, 깃허브 저장소 해킹당해...일부 소스코드·1500명 개인정보 유출 - 디지털투데이
• Hackers Breach Meta GitHub Repositories, Steal Source Code and Data of 1,500 People - Cyber Security News
• Hackers stole Meta source code and staff data from its GitHub repos - International Cyber Digest
• Meta GitHub Breach: Hackers Steal Code, Data of 1,500 - Cyber Kendra

감사합니다.