Grafana indique qu’un token GitHub compromis a permis de télécharger son code source, sans fuite client détectée, et refuse de payer une rançon.
Grafana refuse de payer après un vol de code source
Un token GitHub compromis a permis à un attaquant de télécharger le code de Grafana Labs, avant une tentative de chantage.
Grafana Labs a publié un fil sur X pour confirmer un incident de sécurité autour de son environnement GitHub.
D’après l’entreprise, un acteur non autorisé a obtenu un token ayant accès à l’environnement GitHub de Grafana Labs. Ce token aurait permis de télécharger le code source de l’entreprise.
Grafana indique que son enquête n’a pas trouvé de preuve d’accès aux données clients, aux informations personnelles, aux systèmes clients ou aux opérations de production.
L’entreprise explique aussi avoir lancé une analyse forensic, identifié ce qu’elle pense être la source de la fuite d’identifiants, invalidé les credentials compromis et ajouté des mesures de sécurité supplémentaires.
Le point le plus marquant : l’attaquant aurait tenté de faire chanter Grafana en demandant un paiement pour ne pas publier le codebase téléchargé.
Grafana annonce clairement ne pas vouloir payer la rançon, en rappelant la position du FBI : payer ne garantit pas de récupérer ou protéger les données, et encourage surtout ce type d’activité.
Même si Grafana dit ne pas avoir détecté d’impact client, un accès GitHub reste un incident sérieux. Un dépôt peut contenir du code, de l’historique, des workflows CI/CD, parfois des indices sur l’infrastructure, et dans les pires cas des secrets oubliés. C’est souvent moins spectaculaire qu’une base client volée, mais ce n’est pas anodin.
Grafana promet de partager plus d’informations une fois la revue post-incident terminée.
C’est aussi un bon rappel côté DevOps : les tokens doivent être courts, limités, surveillés, et révoqués vite dès qu’il y a un doute. Le GitHub d’une entreprise, ce n’est pas juste un espace de code, c’est souvent une partie complète de la chaîne de confiance.
Fil Grafana sur X