Grafana détaille son incident GitHub lié à TanStack npm
Grafana donne plus de détails sur son incident GitHub lié à l’attaque supply chain TanStack npm, sans impact client détecté.
Grafana détaille son incident GitHub lié à TanStack npm
Après avoir confirmé un accès non autorisé à ses dépôts GitHub, Grafana Labs explique maintenant que l’incident vient d’une attaque supply chain npm autour de TanStack.
Grafana Labs a publié une mise à jour sur l’incident de sécurité dont je parlais déjà ici :Grafana confirme un breach GitHub et refuse de payer
Dans ce nouveau billet, Grafana donne plus de contexte. L’incident serait lié à l’attaque supply chain npm TanStack, via la campagne Mini Shai-Hulud.
Grafana explique avoir détecté une activité malveillante le 11 mai 2026, puis lancé sa réponse à incident. L’entreprise dit avoir rapidement fait tourner de nombreux tokens GitHub liés aux workflows, mais un token oublié aurait permis aux attaquants d’accéder aux dépôts GitHub.
Le 16 mai, Grafana a reçu une demande de rançon pour éviter la publication de son codebase. L’entreprise maintient sa position : elle ne paiera pas.
Le point rassurant, pour l’instant, c’est que Grafana indique ne pas avoir trouvé de preuve de compromission des systèmes de production, des opérations clients ou de Grafana Cloud. L’incident serait limité à l’environnement GitHub de Grafana Labs.
Grafana précise toutefois que le contenu téléchargé ne contenait pas seulement du code source. Certains dépôts internes servaient aussi à stocker des informations opérationnelles et des détails liés à l’activité de l’entreprise, comme des noms et adresses email de contacts professionnels.L’entreprise insiste aussi sur un point important pour les utilisateurs : le code aurait été téléchargé, mais pas modifié. À ce stade, Grafana indique qu’aucune action n’est demandée aux clients ni aux utilisateurs open source.
Côté réponse, Grafana dit avoir :
- fait tourner des tokens d’automatisation
- renforcé la surveillance
- audité les commits depuis l’incident du 11 mai
- durci sa posture de sécurité GitHub
- commencé à renforcer ses pipelines CI/CD
- prévenu les autorités fédérales
Ce genre d’incident montre bien que la sécurité d’un projet ne se limite pas au code final. Les tokens CI/CD, les dépendances npm, les workflows GitHub et les extensions utilisées par les développeurs font aussi partie de la surface d’attaque réelle.
Grafana promet un rapport post-incident plus complet une fois l’enquête terminée.Mise à jour officielle Grafana Labs
Mon précédent post sur l’incident Grafana