Grafana Labs GitHub 2026 数据泄露事件
Grafana Labs GitHub 2026 数据泄露事件源于一枚 GitHub 工作流令牌：该令牌在针对 TanStack npm 软件包的 Mini Shai-Hulud 供应链攻击中泄露，且在最初的应对中被遗漏。攻击者利用这一凭据克隆了公司的全部代码仓库。Grafana Labs 的最终审查报告称，恶意代码于2026年5月11日在其自托管运行器上执行，代码仓库外传始于5月14日。
该组织尚未公布受影响数量，因此无法按此尺度对事件进行分级。
暴露的数据类型
6- 源代码
- 内部运营信息
- 业务联系人姓名
- 工作电子邮箱地址
- 过去用于营销的电子邮箱地址
- GitHub workflow credentials
关于此次数据泄露
公司确认，入侵者下载了源代码，以及部分团队用于存放内部运营信息和其他业务详情的代码仓库。其中包含在业务往来中交换的业务联系人姓名和电子邮箱地址，以及以往营销活动中使用的部分电子邮箱地址。该组织未公布可核实的受影响人数或记录总数。未披露数量并不意味着事件没有造成影响，而是表示公开来源无法提供可靠的总数。
事件是如何得到确认的？
Grafana Labs 于2026年6月23日发布的事后审查报告称，内部调查于5月27日结束，Mandiant 的独立调查于6月18日完成，并印证了内部调查结果。Mandiant 未发现公共组织或交付给最终用户的生产代码仓库中存在代码篡改或仓库投毒的证据。最终报告提供了首次执行、数据外传、事件发现及应对措施的具体时间，精确到分钟。
BleepingComputer 在5月18日和5月20日的报道中也描述了攻击者通过被盗令牌访问 Grafana 的 GitHub 环境、下载其代码库，以及公司拒绝支付赎金的情况。有关攻击者所属团体及泄露网站声明的报道，不能取代 Grafana 已确认的事件范围。
攻击链是如何运作的？
在 Mini Shai-Hulud 攻击活动中，恶意 TanStack npm 代码进入了 Grafana 的 CI/CD 工作流，并于5月11日在自托管 GitHub 运行器上执行，导致凭据泄露。Grafana 迅速轮换了大量 GitHub 工作流令牌，但遗漏了一枚令牌，其对应的工作流最初被认为未受影响。入侵者利用这一凭据访问了公司的私有代码仓库。
根据最终时间线，攻击者于5月14日 UTC 时间 07:21 使用泄露的 grafana-delivery-bot 身份进行了首次恶意提交，代码仓库外传于当天 13:28 开始。5月15日出现了勒索要求。Grafana 安全团队于5月16日获悉这一声称，并在当天晚些时候确认入侵，随后暂停使用或轮换了已知受影响的应用程序和凭据。
哪些数据被下载了？
已确认的主要数据类别是 Grafana 的全部公开和私有源代码仓库。私有仓库存放了内部工具和部分 Grafana Cloud 功能的代码。一些团队仓库还包含内部运营信息、业务详情、业务往来中使用的业务联系人姓名和电子邮箱地址，以及以往部分营销活动中使用的电子邮箱地址。
公开来源无法证实客户生产数据、可观测性数据、密码或通过 Grafana Cloud 处理的信息遭到窃取。Grafana 明确表示，这些联系方式并非从生产系统或 Grafana Cloud 平台获取。公司提供了支持渠道，供各组织询问是否发现了其域名下的邮箱地址，但未公布涉及人数。
客户或软件供应链是否受到影响？
内部调查和 Mandiant 审查确认，客户生产系统未遭到未经授权的访问，Grafana Cloud 平台也未受影响。Grafana 审计了所有提交、1,200 个代码仓库、GitHub 应用程序、运行器以及多个基础设施日志来源。被下载的代码库未遭修改，在公开仓库或交付给用户的生产代码仓库中也未发现仓库投毒。
因此，Grafana 没有要求客户或开源用户移除产品、更换版本，或采取其他针对此次事件的紧急措施。通过攻击者控制的身份所做的更改已被识别并撤销；公司冻结了代码变更和部署、轮换了凭据，并开始转向使用有效期短、权限范围受限的令牌。这些范围界定并不否认 GitHub 窃取事件的发生，而是避免将其误解为客户生产环境遭到入侵。
赎金要求是什么，公司如何回应？
Grafana 于5月16日收到威胁行为者的付款要求，对方要求支付款项以阻止代码库被公开。FBI 指出，付款并不能保证恢复，还可能助长更多犯罪；公司遵循这一指导，拒绝付款。联邦执法部门已获通知。未经核实的人数、数据字段和威胁行为者的说法，不被视为公开确认的事件范围的一部分。
在应对过程中，Grafana 停用了 GitHub 应用程序，暂时冻结了代码变更和部署，并交叉核查了 Vault、GitHub、Okta、Kubernetes、AWS、GCP 及主机日志。公司报告称，已开展 1,500 次以安全为重点的拉取请求审查，审计了 280 个 GitHub 应用程序，并大范围轮换了凭据。最后一项可能仍可被访问的凭据于5月17日被停用或轮换。
应如何理解这条 LeakData 记录？
事件日期依据公开来源中最早可核实的技术活动确定。本事件涉及通过被盗的 GitHub 工作流令牌克隆全部代码仓库，以及下载其中存储的有限业务联系信息。该组织未公布可核实的受影响人数或记录总数。未披露数量并不意味着事件没有造成影响，而是表示公开来源无法提供可靠的总数。
读者应将源代码、内部运营信息、业务联系人姓名、业务电子邮箱地址，以及以往营销活动中使用的电子邮箱地址视为已确认的数据类别。客户生产系统、Grafana Cloud、交付给最终用户的代码及服务可用性均未受到影响。如果公布了涉及范围的具体数量，本记录可据此更新；当前记录中的零表示去重后的人数未知，而不是没有任何信息暴露。
