Grafana Labs, empresa de observabilidad, ha revelado que un atacante accedió a su repositorio de GitHub y robó su código fuente.

En publicaciones en redes sociales, la empresa culpó a una "parte no autorizada" que logró obtener un token que ofrecía acceso a su entorno de GitHub.

La compañía cree haber identificado la fuente de la filtración de credenciales y, por lo tanto, "invalidó las credenciales comprometidas e implementó medidas de seguridad adicionales para proteger aún más nuestro entorno contra el acceso no autorizado".

Pero eso no impidió que el atacante amenazara con publicar el código de la empresa a menos que Grafana pagara un rescate.

Grafana afirma que no pagará.

"Basándonos en nuestra experiencia operativa y en la postura publicada por la Oficina Federal de Investigación, que señala que 'pagar un rescate no garantiza que usted o su organización recuperen los datos' y solo 'ofrece un incentivo para que otros se involucren en este tipo de actividad ilegal', hemos determinado que el camino adecuado es no pagar el rescate", escribió la empresa.

No está claro si esa postura es enteramente principled, ya que muchos de los productos de Grafana ya son de código abierto. Las publicaciones de la empresa sugieren que el atacante accedió a código que no está disponible libremente.

Se ha buscado aclaración sobre qué fue exactamente lo que el atacante accedió, ya que si robaron código que ya es mayoritariamente open source, ¡hay poca razón para que Grafana pague un rescate!

La decisión de Grafana de no pagar también puede ser más sencilla que para otras víctimas de ciberdelincuencia, ya que la empresa afirma haber "determinado que no se accedió a datos de clientes ni a información personal durante este incidente, y no hemos encontrado evidencia de impacto en los sistemas u operaciones de los clientes".

Por lo tanto, la empresa parece confiar en que cualquier código que los atacantes hayan descargado no supondrá una diferencia material para su negocio ni perjudicará a los clientes.

Lo mismo no podría decirse del gigante del software educativo Canvas, que la semana pasada pagó a extorsionadores después de que afirmaran haber robado datos de más de 275 millones de estudiantes y profesores.

Fuente:
TheRegister