Grafana का GitHub ब्रीच: एक छूटा हुआ टोकन कैसे बना बड़े डेटा एक्सफिल्ट्रेशन की वजह

शुरुआत: TanStack npm सप्लाई‑चेन अटैक

यह पूरी घटना 11 मई 2026 को शुरू हुए एक बड़े सप्लाई‑चेन अटैक से जुड़ी थी, जिसने npm और PyPI डेवलपर इकोसिस्टम को निशाना बनाया। इस अभियान को साइबर सुरक्षा शोधकर्ताओं ने TeamPCP नाम के थ्रेट ग्रुप से जोड़ा है।

हमलावरों ने @tanstack नेमस्पेस के दर्जनों पैकेजों को प्रभावित किया। उन्होंने प्रोजेक्ट के CI/CD पाइपलाइन को हाइजैक कर मैलिशियस वर्ज़न प्रकाशित किए।

इन पैकेजों में Mini Shai‑Hulud नाम का क्रेडेंशियल‑स्टीलिंग मालवेयर छिपा था। यह डेवलपर वातावरण की जानकारी इकट्ठा करता है और GitHub Actions जैसे CI टूल्स से टोकन और अन्य संवेदनशील क्रेडेंशियल चुरा सकता है।

बाद की जांच में सामने आया कि इस अभियान ने तेज़ी से फैलकर npm और PyPI के 160 से अधिक पैकेजों को प्रभावित किया और कई लोकप्रिय डेवलपर टूल्स तक पहुंच गया।

Grafana का GitHub टोकन कैसे लीक हुआ

Grafana की जांच में पाया गया कि TanStack का एक संक्रमित npm पैकेज उसके डेवलपमेंट वातावरण में चला। उस पैकेज के अंदर मौजूद क्रेडेंशियल‑स्टीलर ने GitHub workflow token कैप्चर कर लिया जो Grafana के CI/CD सिस्टम में इस्तेमाल होता था।

जब सप्लाई‑चेन अटैक सामने आया, Grafana ने अपने क्रेडेंशियल्स को रोटेट करना शुरू किया। लेकिन इस प्रक्रिया में एक GitHub workflow token रोटेट नहीं हो पाया।

यही सक्रिय टोकन हमलावरों के हाथ लग गया और उन्होंने उसी के जरिए Grafana के GitHub वातावरण और रिपॉज़िटरी तक अनधिकृत पहुंच बना ली।

हमलावरों ने क्या डेटा एक्सेस किया

Grafana और बाहरी रिपोर्टों के अनुसार हमलावरों ने:

• Grafana के GitHub वातावरण में प्रवेश किया
• कंपनी का सोर्स कोड रिपॉज़िटरी डाउनलोड किया
• आंतरिक GitHub रिपॉज़िटरी हासिल किए जो टीम सहयोग और संचालन दस्तावेज़ों के लिए उपयोग होते थे

कुछ रिपोर्टों के मुताबिक डाउनलोड किए गए डेटा में आंतरिक सहयोग रिपॉज़िटरी, व्यापारिक संपर्क और ईमेल पते भी शामिल हो सकते हैं।

Grafana ने कहा कि जांच में ग्राहक डेटा या व्यक्तिगत जानकारी तक पहुंच का कोई सबूत नहीं मिला।

फिरौती की मांग

डेटा डाउनलोड करने के बाद हमलावरों ने Grafana से संपर्क कर रैनसम डिमांड भेजी और कहा कि अगर भुगतान नहीं किया गया तो चोरी किया गया डेटा सार्वजनिक कर दिया जाएगा।

उपलब्ध रिपोर्टों के अनुसार घटनाक्रम कुछ इस प्रकार रहा:

• 11 मई 2026: संदिग्ध गतिविधि का पता चला और जांच शुरू हुई
• 16 मई 2026: हमलावरों ने फिरौती की मांग भेजी

Grafana ने मांग को मानने से इनकार किया और तुरंत चोरी हुए क्रेडेंशियल्स को अमान्य कर दिया। साथ ही फॉरेंसिक जांच शुरू की गई।

ग्राहक और प्रोडक्शन सिस्टम क्यों प्रभावित नहीं हुए

Grafana ने स्पष्ट किया कि यह घटना सिर्फ उसके GitHub वातावरण तक सीमित थी, न कि उसके प्रोडक्शन इंफ्रास्ट्रक्चर तक।

कंपनी की जांच के अनुसार:

• Grafana Cloud और प्रोडक्शन सिस्टम सुरक्षित रहे
• ग्राहक वातावरण प्रभावित नहीं हुए
• ग्राहक डेटा या व्यक्तिगत जानकारी तक पहुंच नहीं हुई

इसलिए यह घटना मुख्य रूप से GitHub पर रखे सोर्स कोड और आंतरिक दस्तावेज़ों तक सीमित रही।

कोडबेस में बदलाव क्यों नहीं हुआ

Grafana का कहना है कि हमलावरों ने रिपॉज़िटरी डाउनलोड किए, लेकिन उनमें बदलाव नहीं किया।

घटना के दौरान देखी गई गतिविधि मुख्य रूप से अनधिकृत एक्सेस और डेटा एक्सफिल्ट्रेशन से जुड़ी थी, न कि कोड रिलीज़ या प्रोडक्शन सिस्टम में छेड़छाड़ से। हालांकि बाहरी विशेषज्ञ इस निष्कर्ष के लिए मुख्य रूप से Grafana की आंतरिक जांच रिपोर्ट पर ही निर्भर हैं क्योंकि विस्तृत स्वतंत्र फॉरेंसिक डेटा सार्वजनिक नहीं किया गया है।

Mini Shai‑Hulud अभियान का बड़ा संदर्भ

Grafana का मामला आधुनिक सॉफ्टवेयर सप्लाई‑चेन हमलों के एक सामान्य पैटर्न को दिखाता है।

Mini Shai‑Hulud अभियान ने डेवलपर इकोसिस्टम में लोकप्रिय पैकेजों को संक्रमित कर डेवलपर्स और कंपनियों के CI/CD वातावरण को निशाना बनाया।

इस तरह के हमले अक्सर इस क्रम में होते हैं:

1. लोकप्रिय पैकेजों के मैलिशियस वर्ज़न जारी किए जाते हैं।
2. डेवलपर या CI सिस्टम उन पैकेजों को चलाते हैं।
3. मालवेयर क्रेडेंशियल और टोकन चुरा लेता है।
4. हमलावर उन्हीं क्रेडेंशियल्स से GitHub जैसे सोर्स‑कंट्रोल सिस्टम में प्रवेश करते हैं।
5. डेटा डाउनलोड कर पीड़ित संगठन को ब्लैकमेल किया जाता है।

Grafana का मामला दिखाता है कि सिर्फ एक छूटा हुआ टोकन भी बड़े सुरक्षा जोखिम का कारण बन सकता है — खासकर तब जब हमलावर पहले ही डेवलपमेंट पाइपलाइन तक पहुंच बना चुके हों।