Przejdź do treści
Cyberataki

Atak na łańcuch dostaw TanStack. Grafana potwierdza kradzież kodu źródłowego

Grafana ujawniła, że w wyniku ataku na popularne biblioteki TanStack skradziono jej kod źródłowy i dane kontaktowe. Atak nie dotknął klientów, ale pokazuje, jak poważne skutki może mieć naruszenie zaufanego komponentu open source.

3 min read
An abstract illustration of a chain of interconnected puzzle pieces, with one piece glowing red and cracked, while a blue shield hovers above the network of pieces, symbolizing a supply chain attack and the need for defense.

W połowie maja 2026 roku świat open source stanął w obliczu jednego z najgłośniejszych incydentów łańcucha dostaw. Atak na popularne biblioteki TanStack i inne pakiety NPM oraz PyPI doprowadził do rozprzestrzenienia samoreplikującego się złośliwego oprogramowania. Wśród ofiar znalazła się firma Grafana Labs, która potwierdziła kradzież swojego kodu źródłowego oraz wewnętrznych danych. Choć incydent nie naraził na bezpośrednie ryzyko klientów, stanowi on ważne ostrzeżenie dla zespołów IT i administratorów.

Czym był atak na TanStack?

Atak, określany jako Mini Shai-Hulud, polegał na wstrzyknięciu złośliwego kodu do popularnych pakietów open source w rejestrach NPM i PyPI. Jak opisują badacze, malware miał zdolność do samoreplikacji – po zainfekowaniu jednego środowiska mógł rozprzestrzeniać się na kolejne projekty i systemy. W przypadku Grafany atak został wykryty 11 maja. Firma natychmiast rozpoczęła rotację tokenów GitHub, jednak – jak przyznaje – jeden z tokenów nie został unieważniony. To pozwoliło sprawcy na dostęp do repozytoriów Grafany.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

„Przegląd potwierdził, że konkretny przepływ pracy GitHub, który początkowo uznaliśmy za niezagrożony, został w rzeczywistości skompromitowany” – głosi oświadczenie Grafany. W efekcie napastnicy uzyskali dostęp do publicznych i prywatnych repozytoriów kodu, a także do repozytoriów przechowujących dane operacyjne i biznesowe.

Co dokładnie wykradziono?

Zakres naruszenia został ograniczony wyłącznie do repozytoriów GitHub Grafana Labs. Systemy produkcyjne oraz platforma chmurowa Grafana Cloud nie zostały naruszone. Jak podkreśla firma, kod źródłowy został pobrany, ale nie zmodyfikowany. Wśród skradzionych danych znalazły się jednak nie tylko pliki kodu, ale także wewnętrzne informacje operacyjne i szczegóły biznesowe, w tym nazwiska i adresy e-mail kontaktów biznesowych.

Grafana zaznacza, że dane te „pochodzą z relacji zawodowych, a nie zostały pobrane z systemów produkcyjnych ani przetworzone za pomocą platformy Grafana Cloud”. Mimo to incydent pokazuje, jak daleko może sięgnąć atak na łańcuch dostaw – od zainfekowania biblioteki po wykradzenie zamkniętego kodu strategicznej firmy technologicznej.

Co zrobiono po ataku?

Po wykryciu naruszenia Grafana wdrożyła dodatkowe środki zaradcze, wzmocniła swoje bezpieczeństwo na GitHubie i powiadomiła organy ścigania. Co interesujące, 16 maja atakujący wystosowali żądanie okupu, które firma odrzuciła. Decyzja ta jest zbieżna z zaleceniami ekspertów ds. cyberbezpieczeństwa – płacenie okupu nie gwarantuje odzyskania danych i często finansuje dalszą działalność przestępczą.

Firma nie zaleca żadnych działań swoim klientom ani użytkownikom open source. „Nie jest wymagane żadne działanie ze strony klientów ani użytkowników open source” – czytamy w komunikacie. To ważna informacja: incydent został ograniczony do infrastruktury deweloperskiej, a nie produkcyjnej.

Lekcja dla firm i administratorów

Atak na TanStack i jego konsekwencje dla Grafany są przykładem ryzyka, jakie niesie ze sobą poleganie na zewnętrznych komponentach open source. Każda organizacja, która korzysta z publicznych rejestrów pakietów, powinna:

  • regularnie audytować używane zależności i monitorować ich bezpieczeństwo,
  • ograniczać uprawnienia tokenów i kluczy API do niezbędnego minimum,
  • stosować zasadę najmniejszego zaufania – także wobec własnych kontenerów i skryptów CI/CD,
  • przygotować plan reagowania na wypadek naruszenia łańcucha dostaw.

Warto również zwrócić uwagę na fakt, że atakujący próbowali wymusić okup. W takich przypadkach ważne jest, aby nie ulegać presji i skontaktować się z odpowiednimi służbami, takimi jak CERT Polska, który udziela wsparcia ofiarom cyberincydentów.

Co dalej?

Grafana kontynuuje dochodzenie wewnętrzne, a skala całego incydentu Mini Shai-Hulud wciąż jest badana przez społeczność bezpieczeństwa. Już teraz wiadomo, że atak dotknął ponad 320 pakietów NPM. Dla administratorów i zespołów deweloperskich kluczowe jest, aby nie bagatelizować ryzyka związanego z zaufanymi komponentami. Każde repozytorium kodu może stać się celem – nawet jeśli na co dzień nie przetwarza danych klientów.

#atak na repozytoria #bezpieczeństwo kodu #Grafana #łańcuch dostaw #open source #TanStack
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe, kobieta około 40 lat siedząca przy biurku w mieszkaniu, trzyma smartfon w dłoni (widziany od tyłu, bez widocznego ekranu), patrzy na niego z zaniepokojeniem, obok laptop z wyłączonym ekranem, naturalne światło dzienne, głębia ostrości, kadr 16:9, styl Reuters, bez żadnych napisów ani cyfr. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Cyberataki

Phishing na Microsoft Teams

29 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie reporterskie: starszy mężczyzna w polskim mieszkaniu w bloku z lat 70., siedzi przy stole w kuchni, trzyma smartfon z włączoną mapą Google, na twarzy wyraz zaniepokojenia i dezorientacji. Przez okno widać szare osiedle. Naturalne światło dzienne, głębia ostrości, ziarno jak z aparatu Canon, kadr 16:9 zbliżenie na twarz i telefon. Żadnych napisów, ekranów z interfejsem, pieniędzy ani dokumentów. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Cyberataki

Rosyjskie zagłuszanie GPS w Polsce. 2/3 kraju pod ostrzałem

27 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Close-up of a worried middle-aged man looking at a laptop screen, office background, natural daylight, photorealistic, 16:9, high contrast, shallow depth of field, slight grain resembling stock photography from Getty Images. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Cyberataki

Fałszywa aktualizacja Microsoft Teams. Hakerzy przejmują Twój komputer przez RMM

27 lipca, 2026 3 min read