Утечка данных Grafana Labs в GitHub в 2026 году

В опубликованном 23 июня 2026 года отчёте Grafana Labs по итогам инцидента говорится, что внутреннее расследование завершилось 27 мая, а независимое расследование Mandiant: 18 июня, подтвердив выводы внутреннего расследования. Mandiant не обнаружила свидетельств несанкционированного изменения кода или внедрения вредоносного содержимого в публичных организациях либо в репозиториях производственного кода, поставляемого конечным пользователям. В итоговом отчёте с точностью до минуты указано время первого выполнения вредоносного кода, выгрузки данных, обнаружения инцидента и мер реагирования.

В публикациях BleepingComputer от 18 мая и 20 мая также сообщалось о доступе к среде Grafana в GitHub с помощью похищенного токена, скачивании кодовой базы и отказе компании платить выкуп. Сообщения о принадлежности злоумышленника к той или иной группировке и заявления на сайте публикации утечек не заменяют сведения о масштабе инцидента, подтверждённые Grafana.

Во время кампании Mini Shai-Hulud вредоносный код TanStack npm попал в рабочий процесс CI/CD Grafana и 11 мая был выполнен на самостоятельно размещённых раннерах GitHub, что привело к утечке учётных данных. Grafana оперативно заменила значительное число токенов рабочих процессов GitHub, но пропустила один токен для рабочего процесса, который первоначально считался незатронутым. Злоумышленник использовал эти учётные данные для доступа к закрытым репозиториям компании.

Согласно итоговой хронологии, злоумышленник сделал первый вредоносный коммит от имени grafana-delivery-bot, используя утёкшие учётные данные, 14 мая в 07:21 UTC, а выгрузка репозиториев началась в 13:28 того же дня. Требование выкупа появилось 15 мая. Команда безопасности Grafana узнала о заявлении злоумышленника 16 мая, позднее в тот же день подтвердила компрометацию и заблокировала или заменила известные затронутые приложения и учётные данные.

Основная подтверждённая категория данных, весь набор открытых и закрытых репозиториев исходного кода Grafana. Закрытые репозитории содержали внутренние инструменты и код некоторых функций Grafana Cloud. В отдельных репозиториях команд также хранились внутренняя операционная информация, сведения о деятельности компании, имена деловых контактов и адреса электронной почты, использовавшиеся в профессиональных отношениях, а также адреса электронной почты из некоторых прошлых маркетинговых кампаний.

Открытые источники не подтверждают кражу данных клиентов из производственной среды, данных наблюдаемости, паролей или информации, обрабатываемой через Grafana Cloud. Grafana отдельно заявила, что контактные данные не были получены из производственных систем или с платформы Grafana Cloud. Компания предложила канал поддержки для организаций, желающих узнать, были ли обнаружены адреса из их домена, но не опубликовала число затронутых людей.

Внутреннее расследование и проверка Mandiant подтвердили, что несанкционированного доступа к производственным системам клиентов не было и платформа Grafana Cloud не была затронута. Grafana проверила каждый коммит, 1 200 репозиториев, приложения GitHub, раннеры и несколько источников журналов инфраструктуры. Скачанная кодовая база не была изменена; внедрения вредоносного содержимого в открытые репозитории или репозитории производственного кода, поставляемого пользователям, не обнаружили.

Поэтому Grafana не просила клиентов или пользователей продуктов с открытым исходным кодом удалять продукты, менять версии или предпринимать иные экстренные действия в связи с этим инцидентом. Изменения, внесённые через учётную запись под контролем злоумышленника, были выявлены и отменены. Компания приостановила изменения кода и развёртывания, заменила учётные данные и начала переходить на токены с коротким сроком действия и строго ограниченными правами. Эти ограничения масштаба инцидента не отменяют факта кражи данных из GitHub, но не позволяют ошибочно считать её взломом производственных систем клиентов.

16 мая Grafana получила требование от злоумышленника, который добивался выплаты в обмен на отказ от публикации кодовой базы. Следуя рекомендациям FBI о том, что выплата не гарантирует восстановления и может стимулировать дальнейшие преступления, компания отказалась платить. Федеральные правоохранительные органы были уведомлены. Непроверенные сведения о числе людей, полях данных и заявления злоумышленника не включаются в публично описанный масштаб инцидента.

В ходе реагирования Grafana заблокировала приложения GitHub, временно приостановила изменения кода и развёртывания, а также сопоставила журналы Vault, GitHub, Okta, Kubernetes, AWS, GCP и хостов. Компания сообщила о 1 500 проверках запросов на слияние с акцентом на безопасность, аудите 280 приложений GitHub и масштабной замене учётных данных. Последние учётные данные, к которым потенциально сохранялся доступ, были заблокированы или заменены 17 мая.

Дата инцидента определяется по самой ранней технической активности, которую можно подтвердить по открытым источникам. Событие заключается в клонировании набора репозиториев с помощью похищенного токена рабочего процесса GitHub и скачивании ограниченного объёма контактной информации делового характера, хранившейся в этих репозиториях. Организация не опубликовала поддающееся проверке общее число затронутых людей или записей. Отсутствие опубликованного числа не означает, что инцидент не имел последствий: оно означает, что открытые источники не позволяют достоверно определить общее количество.

К подтверждённым категориям данных следует относить исходный код, внутреннюю операционную информацию, имена деловых контактов, рабочие адреса электронной почты и адреса электронной почты из прошлых маркетинговых кампаний. Производственные системы клиентов, Grafana Cloud, код, поставляемый конечным пользователям, и доступность сервисов не были затронуты. Запись может быть обновлена, если будут опубликованы количественные данные о масштабе инцидента. Указанный сейчас ноль означает, что число уникальных людей неизвестно, а не то, что никакая информация не была раскрыта.