Grafana Labs, la empresa detrás de la herramienta de visualización web de código abierto que se ha convertido en la favorita de los entusiastas de los paneles de control, ha confirmado que fue hackeada — y que no pagará el rescate, porque el código en cuestión, en un giro argumental, ya era de código abierto.
En una serie de publicaciones en redes sociales que parecen un informe de incidentes de ciberseguridad escrito por alguien que ya ha visto esta película, la empresa reveló que una credencial de token robada dio a los hackers acceso a su entorno de GitLab. El token no otorgaba acceso a registros de clientes ni a datos financieros, pero sí permitió a los hackers descargar los repositorios de código fuente de la empresa. Grafana ha invalidado el token y ha añadido medidas de seguridad adicionales, porque nada dice "lección aprendida" como un restablecimiento de contraseña y un memorándum severo.
"El atacante intentó chantajearnos, exigiendo un pago para evitar la publicación de nuestro código base", declaró la empresa, presumiblemente con un suspiro y un parpadeo lento. Dado que el código de Grafana es de código abierto y está disponible públicamente para que cualquiera lo descargue, edite y ejecute en sus propias máquinas, la amenaza de chantaje es tan efectiva como amenazar con revelar que el asistente del mago estaba en el ajo desde el principio. No está claro si los hackers robaron algún código o información propietaria, pero el portavoz de la empresa no respondió de inmediato a una solicitud de comentarios, probablemente porque estaba demasiado ocupado tratando de encontrar una forma educada de decir "no vamos a pagar por un servicio que ya ofrecemos gratis".
Este incidente contrasta fuertemente con el reciente hackeo en el gigante de tecnología educativa Instructure, que la semana pasada "llegó a un acuerdo" para pagar a los hackers que habían comprometido su red dos veces en las últimas semanas. Los hackers de Instructure exigieron un rescate no especificado, amenazando con publicar datos robados sobre el personal y los estudiantes después de una filtración masiva de datos y una posterior desfiguración del sitio web. Grafana, sin embargo, citó el consejo de larga data del FBI que insta a las víctimas a no pagar a los hackers, porque cooperar con criminales es tan fiable como una conexión Wi-Fi gratuita en un aeropuerto. Los críticos también señalan que pagar a los ciberdelincuentes solo financia futuros ataques, lo que es como darle tu cartera a un atracador para que pueda comprar una mejor palanca.
Grafana dijo que su investigación está en curso y compartirá sus hallazgos una vez que esté completa — presumiblemente en un repositorio público, porque a estas alturas, ¿por qué no?