Grafana’nın veri ihlali, TanStack npm tedarik zinciri saldırısı sonrasında gerçekleşen bir token döngüsü hatasından kaynaklandı. Bu olay, yazılım güvenliği açısından kritik bir durum arz ediyor, zira birçok geliştirici ortamının tehlikeye girmesine neden oldu.

Saldırı Nasıl Çalışıyor?

Olay, devam eden Shai-Hulud kötü amaçlı yazılım kampanyası çerçevesinde TeamPCP hackerları tarafından gerçekleştirilen TanStack paketlerinin, yetkilendirme bilgilerini çalan kötü amaçlı kod ile enfekte edilmesi sonucu meydana geldi. Bu süreçte, geliştirme ortamlarını hedef alan ve Grafana’nın CI/CD iş akışını etkileyen kötü amaçlı npm paketleri yayınlandı.

Kötü niyetli npm paketi piyasaya sürüldüğünde, Grafana’nın CI/CD iş akışı bu paketi tüketti ve bilgilere ulaşan bir modül, GitHub ortamında çalışarak GitHub iş akışı token’larını saldırganlara iletti. Grafana, Mayıs 1‘de bu kötü niyetli etkinlikleri tespit etti ve GitHub iş akışı token’larını döndürmeyi içeren acil durum müdahale planını hızlıca devreye aldı.

Ancak, bu süreçte bir token gözden kaçtı ve saldırgan bu token’ı kullanarak şirketin özel depolarına erişim sağladı. Grafana’nın güncellemesinde, “Önemli sayıda GitHub iş akışı token’ını döndürdük, ancak gözden kaçan bir token, saldırganların GitHub depolarımıza erişim sağlamasına yol açtı.” ifadesine yer verildi.

Etkilenen Sistemler

Grafana, bir dizi etkilenmiş sistemde kötü niyetli etkinliklerin yaşandığını bildirdi. Ancak, bu durumun müşteri verileri üzerinde bir etkisi olmamıştır. Şirketin belirttiğine göre, çalınan veriler şunları içeriyordu:

• Kaynak kodu
• İşletme ile ilgili bilgilerin indirilmesi
• Profesyonel ilişkilerde değiştirilebilecek iş kontakt isimleri ve e-posta adresleri

Grafana’nın açıklamasında, “Bu, üretim sistemlerinden veya Grafana Cloud platformunun kullanımı ile işlenmiş veri değildir.” ifadesi dikkat çekmektedir.

Çözüm ve Korunma

Grafana, olayın ardından kod tabanında bir değişiklik olmaması nedeniyle indirilen kodların güvenli olduğunu ve kullanıcıların herhangi bir ek önlem almasına gerek olmadığını belirtti. Ancak, bu değerlendirmenin yeni kanıtlar ışığında değişmesi durumunda, etkilenen müşterilere doğrudan bildirimde bulunacaklarını da vurgulamaktadır.

Kullanıcıların aşağıdaki önlemleri alması önerilmektedir:

• Token’ları düzenli olarak döndürmek
• Geliştirme ve üretim ortamlarını izlemek
• Güvenlik güncellemelerini takip etmek ve uygulamak

Sonuç

Kullanıcıların sistemlerini korumak için GitHub iş akışı token’larını düzenli olarak döndürmeleri ve güvenlik önlemlerini artırmaları önemlidir. Ayrıca, gelişmeleri takip etmeleri ve gerekli durumlarda sistemlerini güncellemeleri önerilmektedir. Unutulmamalıdır ki, siber saldırılar sürekli evrim geçirmekte ve her güvenlik önlemi, güncel kalmayı gerektirmektedir.

Grafana Labs, 19 Mayıs 2026 tarihinde yaşanan güvenlik ihlali sonrası yaptığı incelemede, müşteri üretim sistemlerinin veya operasyonlarının etkilenmediğini belirtti. Olay, yalnızca Grafana Labs’ın GitHub ortamını etkileyerek, hem kamuya açık hem de özel kaynak kodunu ve iç GitHub depolarını içeriyor.

Saldırı Nasıl Çalışıyor?

Olayın kaynağı,  TanStack npm  tedarik zinciri saldırısı olup, bu saldırı  TeamPCP  tarafından gerçekleştirilmiştir. Grafana, bu aktiviteyi 11 Mayıs 2026 tarihinde tespit ettiğini bildirdi. Şirket, GitHub iş akışı jetonlarının büyük bir kısmını hızlı bir şekilde değiştirdiklerini, fakat yanlışlıkla atlanan bir jeton nedeniyle saldırganların GitHub depolarına erişim sağladığını ifade etti. Ayrıca, başlangıçta etkilenmediği düşünülen bir GitHub iş akışının aslında tehlikeye girdiği anlamına geldiğini de vurguladı.

Etkilenen Sistemler

Olayın kapsamına giren sistemler, bir dizi iş ve operasyonel bilgi içeren GitHub depolarıdır. Etkilenme, şu unsurları içeriyor:

• Kaynak kodu
• İç GitHub depoları
• Ticari iletişim bilgilerinin içeren belgeler

Çözüm ve Korunma

Grafana, yaşanan ihlalin ardından birkaç adım atarak güvenlik önlemlerini güçlendirdi:

• Otomasyon jetonlarının değiştirilmesi
• Gelişmiş izleme sistemlerinin uygulanması
• Kötü amaçlı aktivitelerin işaretlerini tespit etmek için tüm komitelerin denetlenmesi
• GitHub güvenlik protokollerinin güçlendirilmesi

Ayrıca,  CoinbaseCartel  adlı bir veri fidye çetesi, 15 Mayıs’ta Grafana Labs’ı karanlık web sitesinde listelemiştir.

Sonuç ve Tavsiyeler

Grafana Labs’ın yaşadığı bu ihlal, siber güvenliğin önemini bir kez daha gözler önüne seriyor. Kullanıcıların ve işletmelerin, sistemlerini güvende tutmak için her zaman güncel ve dikkatli olmaları gerektiğini vurgulamak gerekir. Özellikle, güvenlik güncellemeleri yapmayı unutmayın, otomasyon jetonlarınızı düzenli olarak değiştirebilirsiniz ve şüpheli aktiviteleri izlemeyi sürdürmelisiniz. Bunların yanı sıra, portları kapatmayı ve gereksiz erişimleri sınırlamayı da değerlendirin.

Grafana Labs, popüler açık kaynaklı web görselleştirme yazılımının yapımcısı, bir siber saldırıya uğradığını doğruladı ancak şifreleyicilere, şirketin kod tabanını yayımlamama karşılık ödeme yapmayı reddetti.

Yapılan sosyal medya paylaşımlarında, şirketin yaptığı araştırma, saldırganların kod geliştirmek için kullandıkları GitLab ortamına erişimi sağlayan çalınmış bir token kimlik bilgisi kullanarak sisteme girdiğini belirtti. Bu token, müşteri kayıtlarına veya finansal verilere erişim sağlamasa da, saldırganların şirketin kaynak kodu depolarını elde etmelerine olanak tanıdı. Şirket, token’ı geçersiz kılmanın yanı sıra tekrar eden bir olayın önüne geçmek için ek güvenlik önlemleri aldı.

“Saldırgan, kod tabanımızın yayımlanmasını engellemek için bizden ödeme talep etti,” ifadesinde bulundu.

Grafana’nın kodu açık kaynaklı ve kamuya açık olduğu için, herkes yazılımı indirebilir ve kendi makinelerinde çalıştırmadan önce kodunu düzenleyebilir. Saldırganların belirli bir mülkiyet kodu veya bilgisi çalıp çalmadığı ise belirsizliğini koruyor. Şirketten bir sözcü, yapılan yorum talebine yanıt vermedi.

Bu olay, eğitim teknolojileri devi Instructure’ın yaşadığı son saldırıyla tezat oluşturuyor. Instructure, geçtiğimiz hafta ağını iki kez ihlal eden saldırganlarla ödeme konusunda “anlaşma sağladığını” bildirdi. Saldırganlar, yazılımlarını kullanan personel ve öğrenciler hakkında çalınan verilerin yayımlanması tehdidinde bulunarak belirsiz bir fidye talep etmişti.

Grafana’nın durumu, müşteri verilerinin zarar görmediği bir olay olarak öne çıkıyor. Şirket, FBI’ın uzun süredir sürdürdüğü, kurbanların saldırganlara ödeme yapmamaları gerektiği uyarısını hatırlattı. İşbirliği yapılan durumlar, çalınan verilerin geri alınmasını veya daha sonra yayımlanmasını garanti etmiyor. Eleştirmenler, siber suçlulara ödeme yapmanın gelecekteki siber saldırıları finanse ettiğini belirtiyor.

Grafana, araştırmasının devam ettiğini ve sonuçların tamamlandığında paylaşılacağını açıkladı.

Makalelerimizdeki bağlantılardan alışveriş yaptıktan sonra küçük bir komisyon kazanabiliriz. Bu durum, editoryal bağımsızlığımızı etkilemez.

Grafana, yetkisiz bir tarafın şirketin GitHub ortamına erişim sağladığını ve kaynak kodunu indirdiğini açıkladı. Bu olay, yazılım güvenliği açısından ciddi bir tehdit oluşturarak, siber güvenlik önlemlerinin önemini bir kez daha vurgulamaktadır.

Olayın Detayları

Grafana, yaşanan olayla ilgili araştırmalarında müşteri verilerine veya kişisel bilgilere erişilmediğini bildirdi. Şirket, güvenlik ihlalinin kaynağını belirleyerek, tehdit varlıklarını geçersiz kıldığını ve ek güvenlik önlemleri aldığını duyurdu.

Saldırı Nasıl Çalışıyor?

Saldırgan, Grafana’yı şantaj yapmaya ve fidye talep etmeye teşebbüs etti. Olayın ardından Grafana, FBI’ın tavsiyesine uyarak fidye ödememe kararı aldı. FBI, fidye görüşmelerinin, mağdurların verilerine geri ulaşmalarını garanti etmediğini belirtmektedir.

Etkilenen Sistemler

Grafana’nın kaynak kodunun hangi kısmının indirildiği henüz belirtilmemiştir. Bununla birlikte, şirketin sunduğu çeşitli çözümler arasında şunlar bulunmaktadır:

• Grafana Cloud: Uygulamalar ve altyapı için tamamen yönetilen bir izleme platformu.

Tehdit Grupları

Saldırının arkasında olduğu belirtilen siber suç grubu CoinbaseCartel, Halcyon ve Fortinet FortiGuard Labs tarafından tanımlanmıştır. Bu grup, veri hırsızlığı ve şantaj üzerine odaklanmıştır.

Çözüm ve Korunma

Kullanıcıların, Grafana’nın güvenlik önlemlerini gözden geçirmesi ve gerekli güncellemeleri yapması önemlidir. Ayrıca, aşağıdaki adımlar izlenmelidir:

• Şirket yazılımlarını güncelleyin ve güvenlik yamalarını uygulayın.
• Aşırı güvenlik önlemleri ve izleme sistemleri geliştirin.
• Kritik verileri yedekleyin ve bu verilerin güvenliğini sağlayın.

Sonuç

Grafana’nın yaşadığı bu olay, siber güvenliğin kritik önemini bir kez daha gözler önüne sermektedir. Kullanıcılar, sistemlerini korumak için güncellemeleri yapmalı, potansiyel zafiyetleri kapatmalı ve siber güvenlik politikalarını sıkı bir şekilde izlemelidir.