Comment une attaque sur la chaîne d’approvisionnement npm a mené à la fuite de code chez Grafana

En mai 2026, Grafana Labs a révélé une intrusion ciblée dans son environnement GitHub, liée à une vaste attaque contre la chaîne d’approvisionnement logicielle impliquant les packages TanStack distribués via npm. L’opération est associée à la campagne Mini Shai‑Hulud, attribuée au groupe d’attaque TeamPCP.

Le point d’entrée a été un package compromis utilisé dans l’environnement de développement de Grafana. Le code malveillant qu’il contenait a volé des identifiants, dont un token de workflow GitHub utilisé par les pipelines CI/CD de l’entreprise. Lors de la rotation des identifiants déclenchée après la découverte de l’attaque, un token a été oublié, laissant aux attaquants un accès valide aux dépôts GitHub de Grafana.

Les intrus ont alors téléchargé le code source et certaines données internes des dépôts, puis ont tenté d’extorquer l’entreprise en menaçant de publier ces informations. Grafana affirme toutefois n’avoir trouvé aucune preuve d’accès aux systèmes de production, aux environnements clients ou aux données des utilisateurs, ni de modification du code.

Une attaque de la chaîne d’approvisionnement à l’origine de l’incident

L’affaire remonte au 11 mai 2026, lorsque des attaquants ont compromis la chaîne de publication de plusieurs packages dans l’écosystème npm et PyPI. Le projet open source TanStack a été particulièrement touché : des dizaines de packages de l’espace de noms @tanstack ont été publiés avec du code malveillant après la compromission de son pipeline CI/CD.

Ces versions infectées contenaient un malware appelé Mini Shai‑Hulud, conçu pour analyser l’environnement d’exécution et récupérer des identifiants sensibles — notamment des tokens utilisés par des outils de développement, des systèmes CI et des services cloud.

L’attaque s’est rapidement propagée dans l’écosystème open source. Des chercheurs en sécurité ont estimé que plus de 160 packages sur npm et PyPI avaient été compromis ou infectés indirectement au cours de la campagne.

Comment le token GitHub de Grafana a été exposé

Dans son enquête interne, Grafana a identifié qu’un des packages TanStack compromis avait été exécuté dans son environnement de développement. Le composant malveillant inclus dans ce package a récupéré un token GitHub utilisé par un workflow CI/CD.

Lorsque l’attaque sur la chaîne d’approvisionnement a été rendue publique, Grafana a lancé un processus de rotation de ses identifiants et de ses clés d’accès. Cependant, un token de workflow GitHub n’a pas été révoqué lors de cette opération.

Ce token restant valide a permis aux attaquants d’accéder à l’environnement GitHub de l’entreprise et à ses dépôts privés.

Ce que les attaquants ont réussi à récupérer

Selon les informations publiées par Grafana et les analyses externes, les intrus ont :

• Accédé à l’environnement GitHub de Grafana
• Téléchargé le dépôt contenant le code source du projet
• Récupéré des dépôts GitHub internes utilisés pour la collaboration et la documentation opérationnelle

Certains rapports indiquent que les données téléchargées pouvaient inclure des dépôts de collaboration interne, des contacts professionnels et des adresses e‑mail stockées dans ces dépôts.

Grafana affirme cependant que son enquête n’a trouvé aucune preuve d’accès à des données clients ou à des informations personnelles.

Une tentative d’extorsion après l’exfiltration

Après avoir téléchargé les dépôts, les attaquants ont envoyé une demande de rançon, menaçant de publier les données volées si l’entreprise ne payait pas.

La chronologie rapportée publiquement est la suivante :

• 11 mai 2026 : détection d’une activité suspecte et lancement de la réponse à incident
• 16 mai 2026 : réception d’une demande d’extorsion

Grafana a refusé de payer et a immédiatement invalidé les identifiants compromis tout en lançant une enquête médico‑légale interne.

Pourquoi Grafana affirme que les clients n’ont pas été affectés

L’entreprise souligne que l’incident était confiné à son environnement GitHub, qui héberge le code source et des dépôts internes, mais pas l’infrastructure opérationnelle.

Selon ses conclusions :

• Les systèmes de production et l’infrastructure Grafana Cloud n’ont pas été compromis
• Les environnements et opérations des clients n’ont pas été impactés
• Aucune donnée client ni information personnelle n’a été consultée

En pratique, l’attaque a visé les dépôts de code et la documentation interne plutôt que les systèmes exécutant les services de l’entreprise.

Pourquoi le code n’aurait pas été modifié

Grafana affirme que les attaquants ont téléchargé les dépôts mais n’ont pas modifié le code source.

L’activité observée correspond essentiellement à une intrusion suivie d’une exfiltration de données, sans tentative de modification des versions logicielles ou de l’infrastructure de production. Les conclusions reposent toutefois sur l’enquête interne de l’entreprise, les détails d’une analyse médico‑légale indépendante n’ayant pas été publiés publiquement.

Un exemple typique d’attaque moderne sur la chaîne logicielle

L’incident Grafana illustre une chaîne d’attaque devenue fréquente dans les compromissions de la supply chain logicielle.

Dans la campagne Mini Shai‑Hulud, des packages open source compromis ont été utilisés pour cibler directement les environnements de développement et les pipelines CI/CD des mainteneurs et des entreprises.

Le scénario typique observé est le suivant :

1. Des versions malveillantes sont publiées dans un registre de packages légitime.
2. Des développeurs ou des pipelines CI exécutent ces dépendances.
3. Le malware récupère des identifiants ou des tokens d’automatisation.
4. Les attaquants utilisent ces identifiants pour accéder à des plateformes de contrôle de code comme GitHub.
5. Les données sont exfiltrées, puis les victimes reçoivent des demandes d’extorsion.

Dans le cas de Grafana, la combinaison d’un token CI compromis et d’une rotation d’identifiants incomplète a fourni aux attaquants l’accès nécessaire pour pénétrer dans les dépôts GitHub de l’entreprise.

L’épisode souligne un risque croissant pour l’industrie logicielle : les attaquants ciblent de plus en plus les pipelines de développement eux‑mêmes, où des tokens automatisés peuvent offrir un accès direct au code source et aux systèmes internes d’une organisation.