Grafana

O vazamento de dados da Grafana foi causado por um token de workflow do GitHub que não foi rotacionado após um ataque à cadeia de suprimentos do npm, atribuído ao grupo de hackers TeamPCP. Durante a campanha de malware Shai-Hulud, pacotes do TanStack infectados com código de roubo de credenciais foram publicados no npm, comprometendo ambientes de desenvolvimento, incluindo o da Grafana. Quando o pacote malicioso foi liberado, o workflow de CI/CD da Grafana o consumiu, permitindo que um módulo de roubo de informações executasse no ambiente do GitHub e exfiltrasse tokens de workflow para os atacantes. A Grafana detectou a atividade maliciosa em 1º de maio e implementou um plano de resposta a incidentes, mas um token foi esquecido no processo, permitindo acesso a repositórios privados da empresa. Embora o código-fonte tenha sido roubado, a Grafana assegurou que não houve impacto nos dados dos clientes e que o código baixado durante o incidente é considerado seguro. A investigação continua, e a empresa se comprometeu a notificar os clientes afetados caso novas evidências surjam.

A Grafana Labs, responsável pela popular plataforma de análise e visualização de dados, confirmou que hackers acessaram seu código-fonte após uma violação em seu ambiente do GitHub, utilizando um token de acesso roubado. O grupo de extorsão conhecido como CoinbaseCartel reivindicou a responsabilidade pelo ataque, embora até o momento não tenha vazado dados. A empresa afirmou que não houve exposição de dados de clientes ou informações pessoais, e que os sistemas dos clientes permaneceram inalterados. Após a investigação, a Grafana invalidou as credenciais comprometidas e implementou medidas de segurança adicionais. O grupo de hackers tentou extorquir a empresa, exigindo pagamento para não publicar o código-fonte roubado, mas a Grafana optou por não ceder à demanda, seguindo as orientações do FBI, que desaconselha o pagamento de resgates. O CoinbaseCartel, que começou suas atividades em setembro do ano passado, já anunciou mais de 100 vítimas em seu portal de vazamento de dados, utilizando técnicas como engenharia social e phishing para obter acesso a redes-alvo. A Grafana planeja divulgar mais detalhes sobre o incidente após a conclusão de sua investigação.

A Grafana, empresa de tecnologia, revelou que um grupo não autorizado obteve um token que permitiu acesso ao seu ambiente no GitHub, possibilitando o download de sua base de código. A investigação da empresa confirmou que não houve acesso a dados de clientes ou informações pessoais, e que não foram identificados impactos nos sistemas dos clientes. Após a descoberta do incidente, a Grafana iniciou uma análise forense e invalidou as credenciais comprometidas, além de implementar medidas de segurança adicionais. O atacante tentou extorquir a empresa, exigindo pagamento para evitar a divulgação da base de dados roubada, mas a Grafana optou por não ceder à chantagem, seguindo a recomendação do FBI, que desencoraja negociações com criminosos. O ataque foi atribuído ao grupo de cibercrime CoinbaseCartel, que se especializa em extorsão de dados e já possui 170 vítimas em diversos setores. A Grafana não divulgou detalhes sobre a base de código acessada, mas oferece soluções como o Grafana Cloud, uma plataforma de observabilidade gerenciada na nuvem. O incidente destaca a crescente ameaça de grupos de extorsão de dados e a importância de medidas de segurança robustas para proteger informações sensíveis.

A Grafana lançou atualizações de segurança para corrigir uma falha crítica, classificada com um CVSS de 10.0, que pode permitir a escalada de privilégios ou a impersonação de usuários em configurações específicas. A vulnerabilidade, identificada como CVE-2025-41115, reside no componente SCIM (System for Cross-domain Identity Management), que facilita o provisionamento e gerenciamento automatizado de usuários. A falha afeta as versões do Grafana Enterprise de 12.0.0 a 12.2.1, quando o provisionamento SCIM está habilitado e configurado. Um cliente SCIM malicioso pode provisionar um usuário com um ’externalId’ numérico, que pode ser interpretado como um ID de usuário interno, possibilitando a impersonação de contas existentes, como a de um administrador. A vulnerabilidade foi descoberta internamente em 4 de novembro de 2025, e a Grafana recomenda que os usuários apliquem os patches disponíveis imediatamente para mitigar os riscos potenciais. As versões corrigidas incluem Grafana Enterprise 12.0.6+security-01, 12.1.3+security-01, 12.2.1+security-01 e 12.3.0.