[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"$f3g8fogpdxuvgx":3,"$fyof5nwypfd2a":61},{"success":4,"breach":5},true,{"_id":6,"name":7,"title":8,"slug":9,"domain":10,"breachDate":11,"addedDate":12,"publishedAt":13,"modifiedDate":13,"contentUpdatedAt":13,"source":14,"sourceUrl":15,"sourceUrls":16,"pwnCount":19,"affectedCount":19,"affectedCountStatus":20,"affectedCountLowerBound":19,"affectedCountUnit":21,"hasEnglishDescription":4,"contentLocale":22,"availableLocales":23,"translations":33,"severity":44,"dataClasses":45,"description":52,"seoTitle":8,"seoDescription":53,"logoUrl":54,"isVerified":4,"isSensitive":55,"isSpamList":55,"isMalware":55,"company":56},"6a66b7f371f9e0ca4742eed9","GrafanaLabsGitHub2026","Brecha de datos de Grafana Labs en GitHub de 2026","grafana-labs-github-2026","grafana.com","2026-05-11T00:00:00.000Z","2026-07-27T01:44:19.801Z","2026-10-09T20:08:18.368Z","Stolen GitHub workflow token used to clone Grafana Labs repositories","https:\u002F\u002Fgrafana.com\u002Fblog\u002Fpost-incident-review-for-tanstack-npm-supply-chain-ransom-incident\u002F",[15,17,18],"https:\u002F\u002Fwww.bleepingcomputer.com\u002Fnews\u002Fsecurity\u002Fgrafana-says-stolen-github-token-let-hackers-steal-codebase\u002F","https:\u002F\u002Fwww.bleepingcomputer.com\u002Fnews\u002Fsecurity\u002Fgrafana-breach-caused-by-missed-token-rotation-after-tanstack-attack\u002F",null,"not_disclosed","people","es",[24,25,26,27,22,28,29,30,31,32],"en","tr","zh","hi","ar","fr","bn","pt","ru",{"en":34,"tr":35,"zh":36,"hi":37,"es":38,"ar":39,"fr":40,"bn":41,"pt":42,"ru":43},{"slug":9},{"slug":9},{"slug":9},{"slug":9},{"slug":9},{"slug":9},{"slug":9},{"slug":9},{"slug":9},{"slug":9},"Unknown",[46,47,48,49,50,51],"Source code","Internal operational information","Business contact names","Business email addresses","Past marketing email addresses","GitHub workflow credentials","\u003Cp>\u003Cstrong>La brecha de datos de Grafana Labs en GitHub de 2026\u003C\u002Fstrong> se produjo a raíz de la filtración de un token de un flujo de trabajo de GitHub durante el ataque a la cadena de suministro Mini Shai-Hulud contra los paquetes npm de TanStack. Ese token pasó inadvertido durante la respuesta inicial. Los atacantes utilizaron la credencial para clonar el conjunto de repositorios de la empresa. Según la revisión final de Grafana Labs, el código malicioso se ejecutó en sus ejecutores autohospedados el 11 de mayo de 2026 y la exfiltración de los repositorios comenzó el 14 de mayo.\u003C\u002Fp>\n\u003Cp>La empresa confirmó que el intruso descargó código fuente y repositorios que algunos equipos utilizaban para almacenar información operativa interna y otros detalles del negocio. El contenido incluía nombres y direcciones de correo electrónico de contactos comerciales intercambiados en el marco de relaciones profesionales, además de algunas direcciones de correo electrónico utilizadas en campañas de marketing anteriores. La organización no publicó un total verificable de personas o registros afectados. Que no se haya divulgado una cifra no significa que el incidente no tuviera consecuencias, sino que las fuentes públicas no ofrecen un total fiable.\u003C\u002Fp>\n\u003Ch2>¿Cómo se confirmó el incidente?\u003C\u002Fh2>\n\u003Cp>La revisión posterior al incidente que Grafana Labs publicó el 23 de junio de 2026 indica que su investigación interna concluyó el 27 de mayo y que una investigación independiente de Mandiant finalizó el 18 de junio, corroborando los hallazgos internos. Mandiant no encontró pruebas de manipulación del código ni de contaminación de repositorios en organizaciones públicas o en repositorios de producción entregados a los usuarios finales. El informe final detalla, con precisión de minutos, las horas de la ejecución inicial, la exfiltración, el descubrimiento y la respuesta.\u003C\u002Fp>\n\u003Cp>Los informes de BleepingComputer del 18 y el 20 de mayo también describieron el acceso al entorno de GitHub de Grafana mediante un token robado, la descarga de su base de código y la negativa de la empresa a pagar un rescate. La información publicada sobre la pertenencia del atacante a un grupo y las declaraciones en el sitio de filtraciones no sustituye el alcance confirmado por Grafana.\u003C\u002Fp>\n\u003Ch2>¿Cómo se desarrolló la cadena de ataque?\u003C\u002Fh2>\n\u003Cp>Durante la campaña Mini Shai-Hulud, código malicioso de los paquetes npm de TanStack llegó a un flujo de trabajo de CI\u002FCD de Grafana y se ejecutó en ejecutores autohospedados de GitHub el 11 de mayo, lo que provocó la filtración de credenciales. Grafana rotó rápidamente un número considerable de tokens de flujos de trabajo de GitHub, pero se pasó por alto un token de un flujo de trabajo que inicialmente se creía no afectado. El intruso utilizó esta credencial para acceder a los repositorios privados de la empresa.\u003C\u002Fp>\n\u003Cp>Según la cronología final, el atacante realizó el primer commit malicioso con la identidad filtrada grafana-delivery-bot a las 07:21 UTC del 14 de mayo, y la exfiltración de los repositorios comenzó a las 13:28 de ese día. El 15 de mayo apareció una exigencia de pago bajo extorsión. El equipo de seguridad de Grafana tuvo conocimiento de la afirmación del atacante el 16 de mayo, confirmó la intrusión más tarde ese mismo día y procedió a la suspensión o rotación de las aplicaciones y credenciales que se sabía que estaban afectadas.\u003C\u002Fp>\n\u003Ch2>¿Qué datos se descargaron?\u003C\u002Fh2>\n\u003Cp>La principal categoría de datos confirmada es la totalidad de los repositorios de código fuente públicos y privados de Grafana. Los repositorios privados contenían herramientas internas y código de determinadas funciones de Grafana Cloud. Algunos repositorios de equipos también contenían información operativa interna, detalles del negocio, nombres y direcciones de correo electrónico de contactos comerciales utilizados en relaciones profesionales, y direcciones de correo electrónico utilizadas en algunas campañas de marketing anteriores.\u003C\u002Fp>\n\u003Cp>Las fuentes públicas no permiten establecer que se hayan robado datos de producción de los clientes, datos de observabilidad, contraseñas o información procesada a través de Grafana Cloud. Grafana señaló expresamente que los datos de contacto no se extrajeron de los sistemas de producción ni de la plataforma Grafana Cloud. La empresa ofreció un canal de asistencia para las organizaciones que quisieran saber si se habían identificado direcciones de su dominio, pero no publicó una cifra de personas afectadas.\u003C\u002Fp>\n\u003Ch2>¿Se vieron afectados los clientes o la cadena de suministro de software?\u003C\u002Fh2>\n\u003Cp>La investigación interna y la revisión de Mandiant confirmaron que no hubo acceso no autorizado a los sistemas de producción de los clientes y que la plataforma Grafana Cloud no se vio afectada. Grafana auditó cada commit, 1 200 repositorios, las aplicaciones de GitHub, los ejecutores y múltiples fuentes de registros de infraestructura. La base de código descargada no se modificó, y no se encontró contaminación en los repositorios públicos ni en los de producción entregados a los usuarios.\u003C\u002Fp>\n\u003Cp>Por ello, Grafana no pidió a los clientes ni a los usuarios de código abierto que retiraran productos, cambiaran de versión o tomaran alguna otra medida de emergencia específica para este incidente. Los cambios realizados mediante la identidad controlada por el atacante se identificaron y revirtieron; la empresa congeló los cambios de código y los despliegues, rotó las credenciales y avanzó hacia el uso de tokens de corta duración y alcance limitado. Estas limitaciones no restan importancia al robo en GitHub, pero evitan que se interprete erróneamente como una brecha en los sistemas de producción de los clientes.\u003C\u002Fp>\n\u003Ch2>¿Qué rescate se exigió y cuál fue la respuesta?\u003C\u002Fh2>\n\u003Cp>El 16 de mayo, Grafana recibió una exigencia de un actor de amenazas que solicitaba un pago para evitar la publicación de la base de código. Siguiendo las recomendaciones del FBI, que advierten que el pago no garantiza la recuperación y puede incentivar nuevos delitos, la empresa se negó a pagar. Se notificó a las autoridades federales encargadas de hacer cumplir la ley. Las cifras de personas, los campos de datos y las afirmaciones del actor de amenazas que no se han verificado no se consideran parte del alcance público del incidente.\u003C\u002Fp>\n\u003Cp>Durante la respuesta, Grafana suspendió aplicaciones de GitHub, congeló temporalmente los cambios de código y los despliegues, y cotejó los registros de Vault, GitHub, Okta, Kubernetes, AWS, GCP y de los hosts. Informó de 1 500 revisiones de solicitudes de incorporación de cambios centradas en la seguridad, una auditoría de 280 aplicaciones de GitHub y una amplia rotación de credenciales. La última credencial potencialmente accesible se suspendió o rotó el 17 de mayo.\u003C\u002Fp>\n\u003Ch2>¿Cómo debe interpretarse esta ficha de LeakData?\u003C\u002Fh2>\n\u003Cp>La fecha del incidente se basa en la primera actividad técnica que puede verificarse mediante fuentes públicas. El hecho registrado es la clonación de un conjunto de repositorios mediante un token robado de un flujo de trabajo de GitHub y la descarga de una cantidad limitada de información de contactos comerciales almacenada en esos repositorios. La organización no publicó un total verificable de personas o registros afectados. Que no se haya divulgado una cifra no significa que el incidente no tuviera consecuencias, sino que las fuentes públicas no ofrecen un total fiable.\u003C\u002Fp>\n\u003Cp>Los lectores deben considerar como categorías de datos confirmadas el código fuente, la información operativa interna, los nombres de contactos comerciales, las direcciones de correo electrónico comerciales y las direcciones de correo electrónico utilizadas en campañas de marketing anteriores. Los sistemas de producción de los clientes, Grafana Cloud, el código entregado a los usuarios finales y la disponibilidad del servicio no se vieron afectados. La ficha puede actualizarse si se publica una cifra sobre el alcance; el valor actual de cero significa que se desconoce el número de personas únicas, no que no se haya expuesto información.\u003C\u002Fp>","Brecha de datos de Grafana Labs en GitHub de 2026. No se ha divulgado el total de afectados. Datos reportados: Código fuente, Información operativa interna…","\u002Fuploads\u002Flogo\u002Fgrafana_com.svg",false,{"name":57,"sector":58,"country":59,"website":10,"websiteArchiveUrl":60,"websiteStatus":60,"websiteCheckedAt":19},"Grafana Labs","Technology","United States","",{"success":4,"breaches":62},[63,71,78,84],{"slug":64,"title":65,"companyName":66,"logoUrl":67,"breachDate":68,"affectedCount":69,"affectedCountStatus":70},"dustin-group-2026-data-security-incident","Incidente de seguridad de los datos de Dustin Group en 2026","Dustin Group AB (publ)","\u002Fuploads\u002Flogo\u002Fdustingroup_com-6aaab48e5041e3a842fe832a-e26a53490c4a5cbe.webp","2026-09-03T00:00:00.000Z",1062841,"known",{"slug":72,"title":73,"companyName":74,"logoUrl":75,"breachDate":76,"affectedCount":77,"affectedCountStatus":70},"splitvpn-2026","Filtración de datos de SplitVPN de 2026","SplitVPN Technologies LLC","\u002Fuploads\u002Flogo\u002Fsplitvpn-2026.webp","2026-07-21T00:00:00.000Z",865336,{"slug":79,"title":80,"companyName":81,"logoUrl":82,"breachDate":83,"affectedCount":19,"affectedCountStatus":20},"brinks-home-2026","Brecha de datos de Brinks Home en 2026","Brinks Home","\u002Fuploads\u002Flogo\u002Fbrinks-home-2026.webp","2026-07-20T00:00:00.000Z",{"slug":85,"title":86,"companyName":87,"logoUrl":88,"breachDate":89,"affectedCount":19,"affectedCountStatus":20},"hugging-face-2026","Brecha de seguridad de Hugging Face de 2026","Hugging Face","\u002Fuploads\u002Flogo\u002Fhuggingface_co.svg","2026-07-16T00:00:00.000Z"]