CẢNH BÁO TẤN CÔNG CHUỖI CUNG ỨNG

Grafana GitHub bị xâm nhập, rò rỉ mã nguồn qua cuộc tấn công npm TanStack

Grafana Labs vừa chính thức xác nhận môi trường GitHub của họ đã bị xâm nhập, dẫn đến việc rò rỉ mã nguồn và các thông tin vận hành nội bộ. Cuộc tấn công được xác định bắt nguồn từ một lỗ hổng trong chuỗi cung ứng liên quan đến gói npm TanStack.

Phạm vi và tác động của vụ rò rỉ

Theo thông báo từ Grafana Labs vào ngày 19/05/2026, các cuộc điều tra hiện tại cho thấy không có bằng chứng nào về việc hệ thống sản xuất (production) hoặc hoạt động của khách hàng bị ảnh hưởng. Tuy nhiên, phạm vi của sự cố lại tập trung sâu vào hệ sinh thái GitHub của công ty.

Dữ liệu bị rò rỉ:

Mã nguồn công khai và riêng tư.
Kho lưu trữ GitHub nội bộ (Internal Repos).
Thông tin vận hành và dữ liệu kinh doanh.

Thông tin cá nhân:

Bao gồm tên liên hệ và địa chỉ email doanh nghiệp được trao đổi trong bối cảnh nghề nghiệp, không phải dữ liệu từ Grafana Cloud.

Chuỗi tấn công: Từ TanStack npm đến GitHub Token

Cuộc tấn công bắt nguồn từ một chiến dịch tấn công chuỗi cung ứng tinh vi nhắm vào TanStack npm, được thực hiện bởi nhóm tin tặc TeamPCP. Đây cũng chính là nhóm đứng sau các vụ tấn công tương tự nhắm vào OpenAI và Mistral AI gần đây.

Grafana cho biết họ đã phát hiện hoạt động bất thường vào ngày 11/05/2026. Mặc dù công ty đã nhanh chóng thu hồi và làm mới (rotate) một số lượng lớn token GitHub workflow, nhưng một sơ suất nhỏ trong việc bỏ sót một token cụ thể đã tạo điều kiện cho kẻ tấn công duy trì quyền truy cập.

Kẻ tấn công sau đó đã gửi yêu cầu tống tiền vào ngày 16/05. Tuy nhiên, Grafana đã quyết định không trả tiền chuộc vì không có gì đảm bảo dữ liệu sẽ bị xóa hoàn toàn và việc trả tiền có thể khuyến khích các chiến dịch tấn công trong tương lai.

HÀNH ĐỘNG KHẨN CẤP DÀNH CHO DOANH NGHIỆP

Kiểm soát Token: Ngay lập tức rà soát và thu hồi tất cả các GitHub Workflow Tokens và Personal Access Tokens (PATs) cũ.
Audit mã nguồn: Kiểm tra toàn bộ lịch sử commit để tìm kiếm các dấu hiệu chèn mã độc hoặc backdoor tiềm ẩn.
Giám sát NPM: Sử dụng các công cụ bảo mật chuỗi cung ứng để quét các gói npm trong dự án (đặc biệt là TanStack).
Tăng cường IAM: Triển khai xác thực đa yếu tố (MFA) bắt buộc cho tất cả các tài khoản có quyền truy cập vào kho mã nguồn.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Grafana bị rò rỉ mã nguồn GitHub do tấn công chuỗi cung ứng TanStack npm