Fuite de données de Grafana Labs sur GitHub en 2026

Dans son bilan publié le 23 juin 2026, Grafana Labs indique que son enquête interne s’est achevée le 27 mai et qu’une enquête indépendante menée par Mandiant s’est terminée le 18 juin, corroborant les conclusions internes. Mandiant n’a trouvé aucun élément attestant une modification malveillante du code ou un empoisonnement des dépôts dans les organisations publiques ou les dépôts de production distribués aux utilisateurs finaux. Le rapport final précise, à la minute près, les horaires de l’exécution initiale, de l’exfiltration, de la découverte et de la réponse.

Les articles de BleepingComputer des 18 mai et 20 mai ont également décrit l’accès à l’environnement GitHub de Grafana au moyen d’un jeton volé, le téléchargement de sa base de code et le refus de l’entreprise de payer une rançon. Les informations rapportées sur l’appartenance de l’attaquant à un groupe et les déclarations publiées sur un site de divulgation ne se substituent pas au périmètre confirmé par Grafana.

Lors de la campagne Mini Shai-Hulud, du code malveillant provenant de paquets npm TanStack s’est retrouvé dans un flux de travail CI/CD de Grafana et a été exécuté sur des agents d’exécution GitHub auto-hébergés le 11 mai, entraînant la divulgation d’identifiants. Grafana a rapidement renouvelé un nombre important de jetons de flux de travail GitHub, mais un jeton associé à un flux de travail initialement considéré comme non touché a été oublié. L’intrus a utilisé ce jeton pour accéder aux dépôts privés de l’entreprise.

Selon la chronologie finale, l’attaquant a effectué le premier commit malveillant sous l’identité divulguée grafana-delivery-bot à 07:21 UTC le 14 mai, et l’exfiltration des dépôts a commencé à 13:28 le même jour. Une demande d’extorsion est apparue le 15 mai. L’équipe de sécurité de Grafana a pris connaissance de cette revendication le 16 mai, a confirmé la compromission plus tard dans la journée, puis a suspendu ou renouvelé les applications et les identifiants identifiés comme touchés.

La principale catégorie de données confirmée est l’ensemble des dépôts de code source publics et privés de Grafana. Les dépôts privés contenaient des outils internes et du code lié à certaines fonctionnalités de Grafana Cloud. Certains dépôts d’équipes contenaient également des informations opérationnelles internes, des renseignements commerciaux, les noms et adresses e-mail de contacts utilisés dans le cadre de relations professionnelles, ainsi que des adresses e-mail utilisées lors de certaines campagnes marketing antérieures.

Les sources publiques ne permettent pas d’établir que des données de production de clients, des données d’observabilité, des mots de passe ou des informations traitées par Grafana Cloud ont été volés. Grafana a expressément indiqué que les coordonnées ne provenaient ni des systèmes de production ni de la plateforme Grafana Cloud. L’entreprise a proposé un canal d’assistance aux organisations souhaitant savoir si des adresses de leur domaine avaient été identifiées, mais n’a pas publié de nombre de personnes concernées.

L’enquête interne et l’examen de Mandiant ont confirmé qu’aucun accès non autorisé aux systèmes de production des clients n’avait eu lieu et que la plateforme Grafana Cloud n’avait pas été touchée. Grafana a audité chaque commit, 1 200 dépôts, les applications GitHub, les agents d’exécution et plusieurs sources de journaux d’infrastructure. La base de code téléchargée n’a pas été modifiée, et aucun empoisonnement des dépôts n’a été constaté dans les dépôts publics ou de production distribués aux utilisateurs.

Grafana n’a donc pas demandé aux clients ni aux utilisateurs de ses logiciels open source de désinstaller des produits, de changer de version ou de prendre une autre mesure d’urgence propre à cet incident. Les modifications effectuées sous l’identité contrôlée par l’attaquant ont été identifiées et annulées; l’entreprise a gelé les modifications du code et les déploiements, renouvelé les identifiants et engagé une transition vers des jetons à courte durée de validité et aux permissions strictement limitées. Ces limites n’annulent pas le vol sur GitHub, mais évitent de le présenter à tort comme une compromission des systèmes de production des clients.

Grafana a reçu le 16 mai une demande d’un acteur malveillant réclamant un paiement pour ne pas publier la base de code. Suivant les recommandations du FBI, selon lesquelles un paiement ne garantit pas la récupération et peut encourager d’autres activités criminelles, l’entreprise a refusé de payer. Les autorités fédérales chargées de l’application de la loi ont été informées. Les nombres de personnes, les champs de données et les affirmations de l’acteur malveillant qui n’ont pas été vérifiés ne sont pas considérés comme faisant partie du périmètre public de l’incident.

Lors de la réponse à l’incident, Grafana a suspendu des applications GitHub, temporairement gelé les modifications du code et les déploiements, et recoupé les journaux de Vault, GitHub, Okta, Kubernetes, AWS, GCP et des hôtes. L’entreprise a fait état de 1 500 revues de demandes de fusion axées sur la sécurité, d’un audit de 280 applications GitHub et d’un renouvellement étendu des identifiants. Le dernier identifiant potentiellement accessible a été suspendu ou renouvelé le 17 mai.

La date de l’incident correspond à la première activité technique vérifiable à partir de sources publiques. L’événement consiste en la copie d’un ensemble de dépôts au moyen d’un jeton de flux de travail GitHub volé et en le téléchargement d’un volume limité de coordonnées professionnelles stockées dans ces dépôts. L’organisation n’a pas publié de total vérifiable du nombre de personnes ou d’enregistrements concernés. L’absence de chiffre communiqué ne signifie pas que l’incident n’a eu aucun impact; elle signifie que les sources publiques ne fournissent pas de total fiable.

Vous devez considérer le code source, les informations opérationnelles internes, les noms de contacts professionnels, les adresses e-mail professionnelles et les adresses e-mail utilisées lors de campagnes marketing antérieures comme les catégories de données confirmées. Les systèmes de production des clients, Grafana Cloud, le code distribué aux utilisateurs finaux et la disponibilité des services n’ont pas été touchés. Cette fiche pourra être mise à jour si un bilan chiffré est publié; la valeur zéro actuellement indiquée signifie que le nombre de personnes distinctes est inconnu, et non qu’aucune information n’a été exposée.