O Grafana Labs sofreu uma violação de segurança quando um funcionário expôs um token de acesso pessoal em um repositório público. Esse token, com permissões elevadas, permitiu que um invasor clonasse o repositório privado que continha a base de código completa da plataforma. O incidente resultou em uma tentativa de extorsão, com ameaças de vazar o código se um resgate não fosse pago, expondo os riscos de gerenciar credenciais de forma descuidada.
Permissões elevadas: o erro técnico por trás do ataque 🔑
O token de acesso pessoal do funcionário possuía escopos amplos, como repo e workflow, o que concedeu ao invasor controle total sobre o repositório privado. O Grafana Labs confirmou que não houve acesso a dados de clientes ou ambientes de produção, mas o código-fonte, incluindo módulos críticos de segurança, foi baixado. A empresa rotacionou credenciais e auditou logs, mas o incidente ressalta a necessidade de limitar permissões e usar ferramentas como o GitHub Advanced Security para detectar segredos expostos em tempo real.
O resgate que ninguém pagou por um código que já é público 💰
O invasor, após clonar o repositório, tentou pedir resgate como se fosse um sequestro de software. Mas, claro, quando o código já se espalhou pela internet, pagar é como comprar uma fechadura após o roubo. O Grafana Labs, sensato, não cedeu. Agora, o token maldito e o funcionário distraído entrarão para a história como a dupla dinâmica que lembrou a todos que um simples texto no GitHub pode custar mais do que um jantar de empresa.