La brecha de Grafana en mayo de 2026: un token de GitHub no rotado permitió el acceso a repositorios internos

El ataque a la cadena de suministro que lo inició todo

La brecha se remonta a un ataque coordinado contra los ecosistemas npm y PyPI ocurrido el 11 de mayo de 2026. La campaña, atribuida al grupo de amenazas TeamPCP, comprometió decenas de paquetes dentro del espacio de nombres @tanstack al secuestrar el pipeline de CI/CD del proyecto y publicar versiones maliciosas.

Estos paquetes incluían malware roba‑credenciales conocido como Mini Shai‑Hulud, diseñado para analizar el entorno de desarrollo y recolectar tokens sensibles desde herramientas como GitHub Actions y otros sistemas de integración continua.

Investigaciones posteriores indicaron que la operación se propagó rápidamente por el ecosistema de código abierto, llegando a afectar más de 160 paquetes en npm y PyPI y apuntando a herramientas muy utilizadas por desarrolladores.

Cómo se filtró el token de GitHub de Grafana

La investigación interna de Grafana determinó que uno de los paquetes comprometidos de TanStack se ejecutó dentro de su entorno de desarrollo. El componente malicioso incluido en el paquete logró capturar un token de workflow de GitHub utilizado por los pipelines de CI/CD de la empresa.

Cuando se hizo público el ataque a la cadena de suministro, Grafana inició un proceso de rotación de credenciales para invalidar tokens potencialmente expuestos. Sin embargo, un token de GitHub quedó fuera de ese proceso, permaneciendo válido.

Ese único token permitió a los atacantes acceder sin autorización al entorno de GitHub de Grafana y a sus repositorios internos.

Qué información fue descargada

Según las revelaciones de Grafana y reportes externos, los atacantes:

• Accedieron al entorno de GitHub de la empresa
• Descargaron el repositorio del código fuente de Grafana
• Obtuvieron repositorios internos utilizados para colaboración y documentación operativa

Informes adicionales indican que el material descargado también pudo incluir repositorios de colaboración interna, contactos comerciales y direcciones de correo electrónico almacenadas en esos repositorios.

Grafana señaló que su investigación no encontró evidencia de acceso a datos de clientes ni información personal de usuarios.

El intento de extorsión

Después de descargar los repositorios, los atacantes emitieron una demanda de rescate y amenazaron con publicar los datos robados si la empresa no pagaba.

La compañía confirmó la demanda pero se negó a pagar. Los reportes sitúan la cronología del incidente aproximadamente así:

• 11 de mayo de 2026: se detecta actividad sospechosa y comienza la respuesta al incidente
• 16 de mayo de 2026: los atacantes envían una demanda de extorsión

Tras detectar la intrusión, Grafana invalidó las credenciales comprometidas y lanzó una investigación forense.

Por qué Grafana afirma que los clientes no fueron afectados

Grafana subrayó que la brecha se limitó a su entorno de GitHub, no a su infraestructura de producción.

De acuerdo con la investigación de la empresa:

• Los sistemas de producción y la infraestructura de Grafana Cloud no fueron comprometidos
• Las operaciones y entornos de clientes no se vieron afectados
• No se accedió a datos de clientes ni a información personal

Esto significa que el incidente se centró en repositorios de código y documentación interna almacenados en GitHub, no en sistemas operativos ni bases de datos de clientes.

Por qué el código no fue modificado

Grafana explicó que los atacantes descargaron repositorios pero no alteraron el código fuente.

La actividad observada durante el incidente consistió principalmente en acceso no autorizado y exfiltración de datos, no en manipulación de versiones del software ni en comprometer pipelines de producción.

No obstante, los observadores externos dependen en gran medida de las conclusiones forenses publicadas por Grafana, ya que no se han divulgado detalles técnicos completos de investigaciones independientes.

Cómo encaja en la campaña más amplia Mini Shai‑Hulud

El incidente de Grafana ilustra un patrón cada vez más común en los ataques modernos a la cadena de suministro de software.

La campaña Mini Shai‑Hulud se propagó a través de paquetes comprometidos en repositorios de desarrollo, infectando herramientas utilizadas por mantenedores de proyectos y empresas.

El esquema típico del ataque fue el siguiente:

1. Se distribuyen versiones maliciosas de paquetes en repositorios legítimos.
2. Los entornos de desarrollo o CI ejecutan esos paquetes.
3. El malware roba credenciales y tokens.
4. Los atacantes utilizan esas credenciales para acceder a sistemas de control de código como GitHub.
5. Se exfiltran datos y se intenta extorsionar a las víctimas.

Grafana se convirtió en una de las víctimas destacadas cuando un token de CI robado, combinado con una única credencial que no se rotó, proporcionó a los atacantes una puerta de entrada a sus repositorios de GitHub.

El incidente subraya cómo los ataques actuales a la cadena de suministro apuntan cada vez más al pipeline de desarrollo, donde los tokens de CI y las credenciales de automatización pueden dar acceso directo al código fuente y a sistemas internos de una organización.