Grafana se niega a pagar rescate tras descarga de código fuente por grupo de extorsión
Grafana Labs confirmó el 17 de mayo que un tercero obtuvo un token de acceso al GitHub corporativo de la empresa y descargó parte del código fuente. La compañía rechazó la demanda de rescate del grupo CoinbaseCartel y citó orientación del FBI para justificar su postura.
Grafana se niega a pagar rescate tras descarga de código fuente por grupo de extorsión
Grafana Labs confirmó el 17 de mayo que un tercero no autorizado obtuvo un token con acceso al entorno corporativo de GitHub de la empresa y descargó parte del código fuente. Tras la exfiltración, el atacante exigió un pago bajo la amenaza de publicar los repositorios y Grafana se negó.
En un comunicado en X, la empresa afirmó que "ningún dato de cliente o información personal fue accedido durante este incidente, y no encontramos evidencia de impacto en sistemas u operaciones de clientes". Para justificar la negativa, Grafana citó la orientación del FBI, según la cual "no hay garantía de que esto ayude a las empresas afectadas a recuperar los datos" y que pagar "anima a los criminales a atacar a más víctimas".
La atribución fue reivindicada por CoinbaseCartel, un grupo de extorsión que surgió en septiembre de 2025 y ha estado apareciendo en registros de las plataformas Hackmanac y Ransomware.live. El modus operandi no implica criptografía al estilo de ransomware tradicional, sino robo de datos seguido de chantaje.
Lo que está en juego cuando el código se filtra
Los repositorios privados rara vez contienen tesoros en sí mismos: el valor de mercado de Grafana radica en el ecosistema, integraciones y operación en la nube, no en algoritmos secretos. Pero el código fuente expuesto se convierte en un mapa para la caza de vulnerabilidades, secretos olvidados (claves de API, tokens, credenciales de servicio) y flujos de CI/CD vulnerables a inyecciones de dependencia. Los equipos de seguridad que dependen de Grafana para la observabilidad necesitan monitorear la divulgación de eventuales artefactos sensibles y revisar credenciales compartidas en entornos integrados.
La decisión pública de no pagar es parte de una postura editorial cada vez más visible en el sector: hace cinco años, sería discreta; en 2026, se convierte en un comunicado oficial.