Grafana Labs GitHub में 2026 की डेटा सेंध

Grafana Labs की 23 जून 2026 को प्रकाशित घटना के बाद की समीक्षा के अनुसार, उसकी आंतरिक जांच 27 मई को बंद हुई और Mandiant की स्वतंत्र जांच 18 जून को पूरी हुई। इस स्वतंत्र जांच ने आंतरिक निष्कर्षों की पुष्टि की। Mandiant को सार्वजनिक संगठनों या अंतिम उपयोगकर्ताओं को उपलब्ध कराई गई प्रोडक्शन रेपॉज़िटरी में कोड से छेड़छाड़ या दुर्भावनापूर्ण सामग्री जोड़ने का कोई प्रमाण नहीं मिला। अंतिम रिपोर्ट में शुरुआती कोड निष्पादन, डेटा बाहर निकाले जाने, घटना का पता चलने और जवाबी कार्रवाई के समय मिनट तक की सटीकता के साथ दिए गए हैं।

BleepingComputer की 18 मई और 20 मई की रिपोर्टों में भी चोरी किए गए टोकन के ज़रिए Grafana के GitHub परिवेश तक पहुंचने, उसका कोडबेस डाउनलोड करने और कंपनी के फिरौती देने से इनकार करने का ज़िक्र था। हमलावर किस समूह से जुड़ा था और लीक साइट पर क्या बयान दिए गए, इस बारे में रिपोर्टें Grafana द्वारा पुष्टि किए गए दायरे की जगह नहीं लेतीं।

Mini Shai-Hulud अभियान के दौरान TanStack npm का दुर्भावनापूर्ण कोड Grafana के एक CI/CD वर्कफ़्लो तक पहुंचा और 11 मई को स्वयं होस्ट किए गए GitHub रनर पर चला, जिससे क्रेडेंशियल लीक हो गए। Grafana ने बड़ी संख्या में GitHub वर्कफ़्लो टोकन तुरंत बदल दिए, लेकिन एक ऐसे वर्कफ़्लो का टोकन छूट गया, जिसे शुरुआत में अप्रभावित माना गया था। घुसपैठिए ने इस क्रेडेंशियल का इस्तेमाल कंपनी की निजी रेपॉज़िटरी में प्रवेश करने के लिए किया।

अंतिम समयरेखा के अनुसार, हमलावर ने लीक हुई grafana-delivery-bot पहचान का इस्तेमाल करके 14 मई को 07:21 UTC पर पहला दुर्भावनापूर्ण कमिट किया और उसी दिन 13:28 पर रेपॉज़िटरी का डेटा बाहर निकालना शुरू हुआ। 15 मई को जबरन वसूली की मांग सामने आई। Grafana की सुरक्षा टीम को 16 मई को इस दावे का पता चला। टीम ने उसी दिन बाद में अनधिकृत घुसपैठ की पुष्टि की और प्रभावित पाए गए एप्लिकेशन तथा क्रेडेंशियल को निलंबित किया या बदला।

पुष्टि किए गए डेटा की मुख्य श्रेणी Grafana की सार्वजनिक और निजी सोर्स-कोड रेपॉज़िटरी का पूरा संग्रह है। निजी रेपॉज़िटरी में आंतरिक टूल और Grafana Cloud की कुछ सुविधाओं का कोड था। कुछ टीमों की रेपॉज़िटरी में आंतरिक संचालन संबंधी जानकारी, कारोबार के विवरण, व्यावसायिक संबंधों में इस्तेमाल किए गए कारोबारी संपर्कों के नाम और ईमेल पते, तथा पिछले कुछ मार्केटिंग अभियानों में इस्तेमाल किए गए ईमेल पते भी थे।

सार्वजनिक स्रोतों से यह स्थापित नहीं होता कि ग्राहकों का प्रोडक्शन डेटा, ऑब्ज़र्वेबिलिटी डेटा, पासवर्ड या Grafana Cloud के ज़रिए संसाधित जानकारी चोरी हुई थी। Grafana ने स्पष्ट रूप से कहा कि संपर्क विवरण प्रोडक्शन सिस्टम या Grafana Cloud प्लेटफ़ॉर्म से नहीं निकाले गए थे। कंपनी ने उन संगठनों के लिए सहायता का एक माध्यम उपलब्ध कराया, जो यह जानना चाहते थे कि क्या उनके डोमेन के ईमेल पते पहचाने गए हैं, लेकिन उसने व्यक्तियों की संख्या प्रकाशित नहीं की।

आंतरिक जांच और Mandiant की समीक्षा ने पुष्टि की कि ग्राहकों के प्रोडक्शन सिस्टम तक कोई अनधिकृत पहुंच नहीं हुई और Grafana Cloud प्लेटफ़ॉर्म अप्रभावित रहा। Grafana ने हर कमिट, 1,200 रेपॉज़िटरी, GitHub एप्लिकेशन, रनर और इन्फ़्रास्ट्रक्चर लॉग के कई स्रोतों का ऑडिट किया। डाउनलोड किए गए कोडबेस में बदलाव नहीं किया गया था और उपयोगकर्ताओं को उपलब्ध कराई गई सार्वजनिक या प्रोडक्शन रेपॉज़िटरी में दुर्भावनापूर्ण सामग्री जोड़े जाने का कोई मामला नहीं मिला।

इसलिए Grafana ने ग्राहकों या ओपन-सोर्स उपयोगकर्ताओं से उत्पाद हटाने, संस्करण बदलने या इस घटना से जुड़ा कोई अन्य आपातकालीन कदम उठाने को नहीं कहा। हमलावर के नियंत्रण वाली पहचान से किए गए बदलाव पहचानकर वापस लिए गए; कंपनी ने कोड में बदलाव और डिप्लॉयमेंट पर रोक लगाई, क्रेडेंशियल बदले और कम समय तक वैध रहने वाले, सीमित अनुमतियों वाले टोकन अपनाने की दिशा में कदम बढ़ाए। असर का यह सीमित दायरा GitHub से हुई चोरी को नकारता नहीं है, लेकिन इसे ग्राहकों के प्रोडक्शन सिस्टम में हुई सेंध समझने से रोकता है।

Grafana को 16 मई को एक हमलावर से मांग मिली, जिसमें कोडबेस को सार्वजनिक न करने के बदले भुगतान मांगा गया था। FBI के इस मार्गदर्शन का पालन करते हुए कि भुगतान से डेटा वापस मिलने की गारंटी नहीं होती और इससे आगे और अपराधों को बढ़ावा मिल सकता है, कंपनी ने भुगतान करने से इनकार कर दिया। संघीय कानून प्रवर्तन एजेंसियों को सूचित किया गया। व्यक्तियों की अपुष्ट संख्या, डेटा फ़ील्ड और हमलावर के दावों को घटना के सार्वजनिक रूप से दर्ज दायरे का हिस्सा नहीं माना जाता।

जवाबी कार्रवाई के दौरान Grafana ने GitHub एप्लिकेशन निलंबित किए, कोड में बदलाव और डिप्लॉयमेंट पर अस्थायी रोक लगाई, और Vault, GitHub, Okta, Kubernetes, AWS, GCP तथा होस्ट के लॉग का आपस में मिलान करके जांच की। कंपनी ने सुरक्षा पर केंद्रित 1,500 पुल-रिक्वेस्ट समीक्षाओं, 280 GitHub एप्लिकेशन के ऑडिट और व्यापक स्तर पर क्रेडेंशियल बदलने की जानकारी दी। आखिरी ऐसा क्रेडेंशियल, जिस तक संभावित रूप से पहुंचा जा सकता था, 17 मई को निलंबित किया गया या बदल दिया गया।

घटना की तारीख उस सबसे शुरुआती तकनीकी गतिविधि पर आधारित है, जिसे सार्वजनिक स्रोतों से सत्यापित किया जा सकता है। यह घटना चोरी किए गए GitHub वर्कफ़्लो टोकन के ज़रिए रेपॉज़िटरी के संग्रह की क्लोन प्रतियां बनाने और उन रेपॉज़िटरी में रखी सीमित कारोबारी संपर्क जानकारी डाउनलोड करने की है। संगठन ने प्रभावित व्यक्तियों या रिकॉर्ड की ऐसी कुल संख्या प्रकाशित नहीं की, जिसे सत्यापित किया जा सके। संख्या का खुलासा न होने का मतलब यह नहीं है कि घटना का कोई असर नहीं पड़ा; इसका मतलब है कि सार्वजनिक स्रोतों से कोई भरोसेमंद कुल संख्या नहीं मिलती।

पाठकों को सोर्स कोड, आंतरिक संचालन संबंधी जानकारी, कारोबारी संपर्कों के नाम, व्यावसायिक ईमेल पते और पिछले मार्केटिंग अभियानों में इस्तेमाल किए गए ईमेल पतों को पुष्टि की गई डेटा श्रेणियां मानना चाहिए। ग्राहकों के प्रोडक्शन सिस्टम, Grafana Cloud, अंतिम उपयोगकर्ताओं को उपलब्ध कराया गया कोड और सेवा की उपलब्धता प्रभावित नहीं हुए। यदि दायरे की संख्या प्रकाशित होती है, तो रिकॉर्ड अपडेट किया जा सकता है; अभी दर्ज शून्य का मतलब है कि अलग-अलग व्यक्तियों की संख्या अज्ञात है, न कि कोई जानकारी उजागर नहीं हुई।