Grafana Labs GitHub-এ 2026 সালের তথ্য ফাঁস

23 জুন 2026-এ প্রকাশিত Grafana Labs-এর ঘটনাপরবর্তী পর্যালোচনায় বলা হয়েছে, তাদের অভ্যন্তরীণ তদন্ত 27 মে শেষ হয় এবং Mandiant-এর স্বাধীন তদন্ত 18 জুন সম্পন্ন হয়। সেই তদন্ত অভ্যন্তরীণ তদন্তের ফলাফল সমর্থন করে। Mandiant পাবলিক অর্গানাইজেশন বা শেষ ব্যবহারকারীদের কাছে সরবরাহ করা প্রোডাকশন রিপোজিটরিতে কোডে অননুমোদিত পরিবর্তন বা ক্ষতিকর উপাদান ঢোকানোর কোনো প্রমাণ পায়নি। চূড়ান্ত প্রতিবেদনে প্রথমবার কোড চালানো, তথ্য বাইরে সরিয়ে নেওয়া, ঘটনা শনাক্তকরণ ও প্রতিক্রিয়ামূলক পদক্ষেপের সময় মিনিট পর্যন্ত নির্দিষ্ট করে উল্লেখ করা হয়েছে।

BleepingComputer-এর 18 মে ও 20 মে প্রকাশিত প্রতিবেদনেও চুরি হওয়া টোকেনের মাধ্যমে Grafana-এর GitHub পরিবেশে প্রবেশ, তাদের কোডবেস ডাউনলোড এবং মুক্তিপণ দিতে কোম্পানির অস্বীকৃতির কথা বলা হয়েছিল। আক্রমণকারীর গোষ্ঠীগত সংশ্লিষ্টতা ও তথ্য ফাঁসের সাইটে দেওয়া বিবৃতি নিয়ে প্রকাশিত প্রতিবেদনকে Grafana-এর নিশ্চিত করা ঘটনার পরিধির বিকল্প হিসেবে ধরা হয় না।

Mini Shai-Hulud আক্রমণ অভিযানের সময় ক্ষতিকর TanStack npm কোড একটি Grafana CI/CD ওয়ার্কফ্লোতে পৌঁছায় এবং 11 মে নিজস্ব ব্যবস্থাপনায় চালিত GitHub রানারগুলোতে চলে। এতে ক্রেডেনশিয়াল ফাঁস হয়। Grafana দ্রুত উল্লেখযোগ্য সংখ্যক GitHub ওয়ার্কফ্লো টোকেন বদলে দেয়, কিন্তু প্রাথমিকভাবে অপ্রভাবিত বলে মনে করা একটি ওয়ার্কফ্লোর টোকেন বাদ পড়ে যায়। অনুপ্রবেশকারী এই ক্রেডেনশিয়াল ব্যবহার করে কোম্পানির ব্যক্তিগত রিপোজিটরিগুলোতে প্রবেশ করে।

চূড়ান্ত ঘটনাক্রম অনুযায়ী, আক্রমণকারী ফাঁস হওয়া grafana-delivery-bot পরিচয় ব্যবহার করে 14 মে 07:21 UTC-তে প্রথম ক্ষতিকর কমিট করে এবং সেদিন 13:28-এ রিপোজিটরি থেকে তথ্য বাইরে সরিয়ে নেওয়া শুরু হয়। 15 মে অর্থ আদায়ের দাবি সামনে আসে। Grafana-এর নিরাপত্তা দল 16 মে ওই দাবির কথা জানতে পারে, একই দিনের পরবর্তী সময়ে অননুমোদিত প্রবেশের বিষয়টি নিশ্চিত করে এবং প্রভাবিত বলে জানা অ্যাপ্লিকেশন ও ক্রেডেনশিয়ালগুলো স্থগিত করে বা বদলে দেয়।

নিশ্চিত হওয়া তথ্যের প্রধান শ্রেণি হলো Grafana-এর সব পাবলিক ও ব্যক্তিগত সোর্স-কোড রিপোজিটরির সংগ্রহ। ব্যক্তিগত রিপোজিটরিগুলোতে অভ্যন্তরীণ কাজে ব্যবহৃত টুল এবং Grafana Cloud-এর নির্দিষ্ট কিছু সুবিধার কোড ছিল। কয়েকটি দলের রিপোজিটরিতে অভ্যন্তরীণ কার্যক্রমের তথ্য, ব্যবসায়িক বিবরণ, পেশাগত সম্পর্কে ব্যবহৃত ব্যবসায়িক যোগাযোগের ব্যক্তিদের নাম ও ইমেইল ঠিকানা এবং অতীতের কিছু বিপণন প্রচারে ব্যবহৃত ইমেইল ঠিকানাও ছিল।

গ্রাহকদের প্রোডাকশন ডেটা, অবজারভেবিলিটি ডেটা, পাসওয়ার্ড বা Grafana Cloud-এর মাধ্যমে প্রক্রিয়াকৃত তথ্য চুরি হয়েছে, প্রকাশ্য সূত্রগুলো তা প্রতিষ্ঠিত করে না। Grafana স্পষ্টভাবে বলেছে যে যোগাযোগের তথ্যগুলো প্রোডাকশন সিস্টেম বা Grafana Cloud প্ল্যাটফর্ম থেকে নেওয়া হয়নি। কোনো প্রতিষ্ঠানের ডোমেইনের ইমেইল ঠিকানা শনাক্ত হয়েছে কি না, তা জানতে চাওয়া প্রতিষ্ঠানগুলোর জন্য কোম্পানি সহায়তার একটি যোগাযোগমাধ্যম দিয়েছিল, তবে ব্যক্তির সংখ্যা প্রকাশ করেনি।

অভ্যন্তরীণ তদন্ত এবং Mandiant-এর পর্যালোচনা নিশ্চিত করেছে যে গ্রাহকদের প্রোডাকশন সিস্টেমে কোনো অননুমোদিত প্রবেশ ঘটেনি এবং Grafana Cloud প্ল্যাটফর্ম প্রভাবিত হয়নি। Grafana প্রতিটি কমিট, 1,200টি রিপোজিটরি, GitHub অ্যাপ্লিকেশন, রানার এবং অবকাঠামোর একাধিক লগ উৎস নিরীক্ষা করেছে। ডাউনলোড করা কোডবেসে পরিবর্তন করা হয়নি এবং ব্যবহারকারীদের কাছে সরবরাহ করা পাবলিক বা প্রোডাকশন রিপোজিটরিতে ক্ষতিকর উপাদান ঢোকানোর কোনো নজির পাওয়া যায়নি।

তাই Grafana গ্রাহক বা ওপেন-সোর্স ব্যবহারকারীদের পণ্য সরিয়ে ফেলতে, সংস্করণ বদলাতে বা এই ঘটনার জন্য অন্য কোনো জরুরি পদক্ষেপ নিতে বলেনি। আক্রমণকারীর নিয়ন্ত্রণাধীন পরিচয়ের মাধ্যমে করা পরিবর্তনগুলো শনাক্ত করে আগের অবস্থায় ফিরিয়ে দেওয়া হয়। কোম্পানি কোড পরিবর্তন ও ডেপ্লয়মেন্ট সাময়িকভাবে বন্ধ রাখে, ক্রেডেনশিয়াল বদলে দেয় এবং স্বল্পমেয়াদি, সীমিত অনুমতির টোকেন ব্যবহারের দিকে এগোয়। ঘটনার পরিধির এই সীমাগুলো GitHub থেকে তথ্য চুরির ঘটনাকে অস্বীকার করে না; বরং এটিকে গ্রাহকদের প্রোডাকশন সিস্টেমে তথ্য লঙ্ঘন হিসেবে ভুল বোঝা থেকে বিরত রাখে।

16 মে Grafana এক আক্রমণকারীর কাছ থেকে কোডবেস প্রকাশ না করার বিনিময়ে অর্থ দেওয়ার দাবি পায়। অর্থ দিলেও তথ্য পুনরুদ্ধারের নিশ্চয়তা নেই এবং তা আরও অপরাধে উৎসাহ দিতে পারে, FBI-এর এই নির্দেশনা অনুসরণ করে কোম্পানি অর্থ দিতে অস্বীকৃতি জানায়। ফেডারেল আইন প্রয়োগকারী কর্তৃপক্ষকে জানানো হয়। যাচাই না করা ব্যক্তির সংখ্যা, তথ্যের ফিল্ড ও আক্রমণকারীর দাবিকে ঘটনার প্রকাশ্য পরিধির অংশ হিসেবে ধরা হয় না।

প্রতিক্রিয়ামূলক ব্যবস্থা নেওয়ার সময় Grafana GitHub অ্যাপ্লিকেশন স্থগিত করে, কোড পরিবর্তন ও ডেপ্লয়মেন্ট সাময়িকভাবে বন্ধ রাখে এবং Vault, GitHub, Okta, Kubernetes, AWS, GCP ও হোস্টের লগ মিলিয়ে যাচাই করে। কোম্পানি নিরাপত্তাকেন্দ্রিক 1,500টি পুল রিকোয়েস্ট পর্যালোচনা, 280টি GitHub অ্যাপ্লিকেশন নিরীক্ষা এবং ব্যাপকভাবে ক্রেডেনশিয়াল বদলে দেওয়ার কথা জানায়। যে শেষ ক্রেডেনশিয়ালটি তখনও ব্যবহার করা সম্ভব হতে পারত, সেটি 17 মে স্থগিত করা হয় বা বদলে দেওয়া হয়।

প্রকাশ্য সূত্র থেকে যাচাই করা যায় এমন প্রথম প্রযুক্তিগত কার্যকলাপের ভিত্তিতে ঘটনার তারিখ নির্ধারণ করা হয়েছে। ঘটনাটি হলো চুরি হওয়া GitHub ওয়ার্কফ্লো টোকেনের মাধ্যমে একটি রিপোজিটরি সংগ্রহ ক্লোন করা এবং সেসব রিপোজিটরিতে সংরক্ষিত সীমিত ব্যবসায়িক যোগাযোগের তথ্য ডাউনলোড করা। প্রতিষ্ঠানটি ক্ষতিগ্রস্ত ব্যক্তি বা রেকর্ডের যাচাইযোগ্য মোট সংখ্যা প্রকাশ করেনি। সংখ্যা অপ্রকাশিত থাকার অর্থ এই নয় যে ঘটনার কোনো প্রভাব ছিল না; এর অর্থ হলো, প্রকাশ্য সূত্রগুলো থেকে নির্ভরযোগ্য মোট সংখ্যা পাওয়া যায় না।

পাঠকদের সোর্স কোড, অভ্যন্তরীণ কার্যক্রমের তথ্য, ব্যবসায়িক যোগাযোগের ব্যক্তিদের নাম, ব্যবসায়িক ইমেইল ঠিকানা এবং অতীতের বিপণন প্রচারে ব্যবহৃত ইমেইল ঠিকানাকে নিশ্চিত হওয়া তথ্যের শ্রেণি হিসেবে বিবেচনা করা উচিত। গ্রাহকদের প্রোডাকশন সিস্টেম, Grafana Cloud, শেষ ব্যবহারকারীদের কাছে সরবরাহ করা কোড এবং সেবা চালু থাকার বিষয়টি প্রভাবিত হয়নি। ঘটনার পরিধি সম্পর্কে সংখ্যাগত তথ্য প্রকাশিত হলে রেকর্ডটি হালনাগাদ করা যেতে পারে। বর্তমানে শূন্য দেখানোর অর্থ হলো স্বতন্ত্র ব্যক্তির সংখ্যা অজানা, কোনো তথ্য ফাঁস হয়নি এমন নয়।