Análise Principal
Segurança & Risco3 min

Grafana recusa pagar resgate após código-fonte ser baixado por grupo de extorsão

Tela de monitoramento exibindo dashboards e métricas
Foto de Stephen Dawson na Unsplash

A Grafana Labs confirmou em 17 de maio que um terceiro obteve um token de acesso ao GitHub corporativo da empresa e baixou parte do código-fonte. A companhia recusou o pedido de resgate do grupo CoinbaseCartel e citou orientação do FBI para justificar a postura.

Grafana recusa pagar resgate após código-fonte ser baixado por grupo de extorsão


A Grafana Labs confirmou em 17 de maio que um terceiro não autorizado obteve um token com acesso ao ambiente corporativo do GitHub da empresa e baixou parte do código-fonte. Após a exfiltração, o atacante exigiu pagamento sob ameaça de publicar os repositórios e a Grafana recusou.


Em comunicado no X, a empresa afirmou que "nenhum dado de cliente ou informação pessoal foi acessado durante este incidente, e não encontramos evidência de impacto em sistemas ou operações de clientes". Para justificar a recusa, a Grafana citou orientação do FBI segundo a qual "não há garantia de que isso ajudará empresas afetadas a recuperar os dados" e que pagar "encoraja os criminosos a atacar mais vítimas".


A atribuição foi reivindicada pelo CoinbaseCartel, grupo de extorsão que surgiu em setembro de 2025 e vem aparecendo em registros das plataformas Hackmanac e Ransomware.live. O modus operandi não envolve criptografia ao estilo ransomware tradicional, mas roubo de dados seguido de chantagem.


O que está em jogo quando o código vaza


Repositórios privados raramente contêm joias da coroa em si: o valor de mercado da Grafana está no ecossistema, integrações e operação da nuvem, não em algoritmos secretos. Mas código-fonte exposto vira mapa para caça a vulnerabilidades, segredos esquecidos (chaves de API, tokens, credenciais de serviço) e fluxos de CI/CD vulneráveis a injeção de dependência. Times de segurança que dependem da Grafana para observabilidade precisam monitorar a divulgação de eventuais artefatos sensíveis e revisar credenciais compartilhadas em ambientes integrados.


A decisão pública de não pagar é parte de uma postura editorial cada vez mais visível no setor: cinco anos atrás, seria discreta; em 2026, vira comunicado oficial.

Análise Principal