B
今週中
Grafana LabsがGitHubリポジトリへの不正アクセスを受け、ソースコードや内部運用情報、連絡先などのデータが窃取されました
📌 一言でいうと
Grafana LabsがGitHubリポジトリへの不正アクセスを受け、ソースコードや内部運用情報、連絡先などのデータが窃取されました。原因はTanStackのサプライチェーン攻撃に波及し、一部のGitHubワークフロー用トークンの更新が不十分だったためです。攻撃者は窃取したデータの非公開を条件に身代金を要求しましたが、同社は支払いを拒否しています。なお、本件はGitHub環境のみに影響し、本番システムやGrafana Cloudプラットフォームへの影響はないとしています。
🔍該当判定
- 自社で『Grafana』を導入し、かつGitHubを用いて開発・運用している
- GitHubのワークフロー（GitHub Actions等）で、APIトークンや認証鍵を長期間変更せずに利用している
- 開発環境において『TanStack』のライブラリやツールを利用している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
1. サプライチェーン攻撃の波及を確認するため、利用している外部ライブラリやツールの更新状況を確認すること。2. GitHub等のCI/CD環境で使用しているAPIトークンやシークレットを定期的に輪換（ローテーション）し、不要な権限を最小化すること。3. 外部からの身代金要求などの不審な連絡に注意し、社内報告フローを徹底すること。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】Grafana LabsにおけるGitHubリポジトリ侵害について
お疲れさまです。Grafana LabsのGitHub環境における不正アクセスに関する情報共有です。
■ 概要
TanStackのサプライチェーン攻撃に起因し、Grafana LabsのGitHubリポジトリが侵害されました。原因は、侵害検知後のトークン輪換（Rotation）が不完全であり、一部のトークンが攻撃者に利用され続けたためです。ソースコードのほか、内部運用情報や連絡先メールアドレスなどが窃取されています。
■ 影響範囲
- Grafana LabsのGitHub環境（リポジトリ、内部運用データ）
- ※本番システムおよびGrafana Cloudプラットフォームへの影響はないと報告されています。
■ 対応手順
1. 自社で利用しているGitHub Actions等のワークフローにおけるシークレット/トークンの有効期限と輪換ポリシーを再確認してください。
2. サプライチェーン攻撃の波及を防ぐため、依存ライブラリ（特にTanStack関連）の最新バージョンへの更新を検討してください。
3. 権限の最小特権原則（Least Privilege）に基づき、トークンのスコープを制限してください。
■ 参考情報
- Grafana Labs 公式ブログ
対応優先度: 中
対応期限: 次回定期メンテナンスまで
お疲れさまです。Grafana LabsのGitHub環境における不正アクセスに関する情報共有です。
■ 概要
TanStackのサプライチェーン攻撃に起因し、Grafana LabsのGitHubリポジトリが侵害されました。原因は、侵害検知後のトークン輪換（Rotation）が不完全であり、一部のトークンが攻撃者に利用され続けたためです。ソースコードのほか、内部運用情報や連絡先メールアドレスなどが窃取されています。
■ 影響範囲
- Grafana LabsのGitHub環境（リポジトリ、内部運用データ）
- ※本番システムおよびGrafana Cloudプラットフォームへの影響はないと報告されています。
■ 対応手順
1. 自社で利用しているGitHub Actions等のワークフローにおけるシークレット/トークンの有効期限と輪換ポリシーを再確認してください。
2. サプライチェーン攻撃の波及を防ぐため、依存ライブラリ（特にTanStack関連）の最新バージョンへの更新を検討してください。
3. 権限の最小特権原則（Least Privilege）に基づき、トークンのスコープを制限してください。
■ 参考情報
- Grafana Labs 公式ブログ
対応優先度: 中
対応期限: 次回定期メンテナンスまで
Subject: [Info] Unauthorized Access to Grafana Labs GitHub Repositories
Dear Team,
We are sharing information regarding the security incident at Grafana Labs.
■ Overview
Grafana Labs experienced a breach of its GitHub repositories as a ripple effect of a TanStack supply chain attack. The incident occurred because some GitHub workflow tokens were not rotated in time after the initial detection of malicious activity. Stolen data includes source code, internal operational information, and business contact details.
■ Scope of Impact
- Grafana Labs GitHub environment
- Note: Production systems and the Grafana Cloud platform remain unaffected.
■ Recommended Actions
1. Review the rotation policy and expiration of secrets/tokens used in your own CI/CD pipelines (e.g., GitHub Actions).
2. Ensure all dependencies, particularly those related to TanStack, are updated to the latest secure versions to mitigate supply chain risks.
3. Enforce the principle of least privilege for all API tokens and service accounts.
■ Reference
- Grafana Labs Official Blog
Priority: Medium
Deadline: Next scheduled maintenance
Dear Team,
We are sharing information regarding the security incident at Grafana Labs.
■ Overview
Grafana Labs experienced a breach of its GitHub repositories as a ripple effect of a TanStack supply chain attack. The incident occurred because some GitHub workflow tokens were not rotated in time after the initial detection of malicious activity. Stolen data includes source code, internal operational information, and business contact details.
■ Scope of Impact
- Grafana Labs GitHub environment
- Note: Production systems and the Grafana Cloud platform remain unaffected.
■ Recommended Actions
1. Review the rotation policy and expiration of secrets/tokens used in your own CI/CD pipelines (e.g., GitHub Actions).
2. Ensure all dependencies, particularly those related to TanStack, are updated to the latest secure versions to mitigate supply chain risks.
3. Enforce the principle of least privilege for all API tokens and service accounts.
■ Reference
- Grafana Labs Official Blog
Priority: Medium
Deadline: Next scheduled maintenance