Grafana Labs celem ataku. Token GitHub wykradziony, kod źródłowy w rękach przestępców

Grafana Labs, twórca popularnej platformy do wizualizacji danych, potwierdziła naruszenie bezpieczeństwa, w wyniku którego cyberprzestępcy wykradli kod źródłowy z prywatnych repozytoriów GitHub. Atak przeprowadziła grupa CoinbaseCartel, która – jak podaje serwis Sekurak – przechwyciła token uwierzytelniający i wykorzystała go do nieautoryzowanego dostępu. Firma stanowczo odmówiła negocjacji, powołując się na rekomendacje FBI.

Co się stało? Wektor ataku i skala incydentu

Z oficjalnego oświadczenia Grafana Labs opublikowanego na platformie X wynika, że atakujący uzyskali dostęp do kodu źródłowego przechowywanego w prywatnych repozytoriach GitHub. Firma nie sprecyzowała, którego produktu dotyczy wyciek, ale – jak sugeruje Sekurak – mogło chodzić o Grafana Enterprise lub Grafana Cloud. Zespół bezpieczeństwa dowiedział się o incydencie, gdy napastnicy zaczęli pobierać dane – mechanizmy obronne w postaci canary tokens uruchomiły alarm.

Badacze społeczności podejrzewają, że wektorem ataku była podatność Pwn Request w usłudze GitHub Actions. Opiera się ona na zgłoszeniu złośliwego Pull Requesta do publicznego repozytorium – jeśli automatyczne skrypty testujące są źle skonfigurowane, kod atakującego wykonuje się w bezpiecznym środowisku CI/CD, umożliwiając kradzież tokenów i sekretów. Po zdobyciu poświadczeń napastnicy usunęli swój fork, aby zatrzeć ślady.

Reakcja firmy: brak negocjacji i analiza powłamaniowa

Przedstawiciele Grafana Labs potwierdzili, że celem atakujących była kradzież danych i szantaż – nie doszło do modyfikacji zawartości repozytoriów. Firma poinformowała, że „dane kontrahentów nie zostały wykradzione, a incydent dotyczył wyłącznie kodu źródłowego”. Wykradziony token został natychmiast unieważniony, co odcięło napastnikom dostęp do infrastruktury.

Grafana Labs stanowczo odmówiła zapłaty okupu, powołując się na oficjalne rekomendacje FBI. Agencja podkreśla, że płacenie okupu nie gwarantuje odzyskania danych ani tego, że nie zostaną one sprzedane innym podmiotom – wręcz przeciwnie, motywuje inne grupy do kolejnych ataków. Firma prowadzi obecnie analizę powłamaniową, a szczegóły techniczne zostaną opublikowane po zakończeniu prac.

Kim jest grupa CoinbaseCartel?

Odpowiedzialność za atak wzięła grupa CoinbaseCartel, znana z zaawansowanych operacji wymierzonych w firmy technologiczne. Jak odnotowuje Sekurak, grupa ta specjalizuje się w kradzieży danych i późniejszych próbach wymuszenia okupu. W przeszłości atakowała m.in. podmioty z sektora fintech i SaaS, wykorzystując podobne techniki – przechwytywanie tokenów uwierzytelniających i dostęp do środowisk chmurowych.

W przypadku Grafany nie doszło do wycieku danych osobowych klientów ani partnerów. Firma uspokaja, że „zawartość repozytoriów oraz dane użytkowników i kontrahentów są bezpieczne”. Mimo to incydent pokazuje, jak poważne konsekwencje może mieć przejęcie pojedynczego tokena dostępowego.

Jakie wnioski dla administratorów i firm?

Atak na Grafana Labs to kolejne przypomnienie, że bezpieczeństwo łańcucha dostaw oprogramowania wymaga szczególnej uwagi. Tokeny uwierzytelniające do systemów CI/CD i repozytoriów kodu są dziś jednym z najcenniejszych celów cyberprzestępców. Sekurak opisuje szczegóły podatności Pwn Request, która mogła posłużyć do ataku – warto się z nią zapoznać, aby sprawdzić własne konfiguracje.

Zalecenia dla zespołów bezpieczeństwa obejmują: stosowanie krótkoterminowych tokenów, regularną rotację kluczy, monitorowanie aktywności w repozytoriach za pomocą canary tokens oraz rygorystyczne przeglądanie Pull Requestów pod kątem złośliwego kodu. W przypadku wykrycia naruszenia kluczowe jest natychmiastowe unieważnienie skompromitowanych poświadczeń – tak jak zrobiła to Grafana Labs.

Incydent w Grafana Labs nie jest odosobniony. Coraz częściej ataki na łańcuch dostaw oprogramowania zaczynają się od przejęcia tokena w środowisku programistycznym. Należy traktować te zasoby z taką samą ostrożnością jak hasła administratorów – i zabezpieczać je wieloma warstwami ochrony, w tym uwierzytelnianiem wieloskładnikowym i ograniczeniem uprawnień do niezbędnego minimum.