Je prostě normální úterý. Nový únik. Nová hrozba.
Grafana Labs, tvůrci populárního open-source vizualizačního nástroje, na kterém jsme všichni do jisté míry závislí, hlásí, že jejich kódová základna byla hacknuta.
Je to vážné? Možná ne. Ale rozhodně znepokojující.
Společnost potvrdila hack prostřednictvím sociálních médií, což se v dnešní době zdá podivně normální. Vyšetřování ukázalo, že vetřelci nepronikli do zdi, ale jednoduše našli dveře bez zámku. Jmenovitě byly odcizeny přihlašovací údaje ve formě tokenu. To jim umožnilo přístup do prostředí GitHub Grafana, kde je uložen zdrojový kód.
Získali hackeři záznamy o zákaznících? Ne. Finanční údaje? Ne. Pouze kód.
Útočník se nás pokusil donutit zaplatit výkupné a požadoval peníze, aby zabránil zveřejnění dat.
To je podstata. Vydírání. Jednoduché a přímé.
Nyní přichází ta zajímavá část. Kód Grafana je open source. Je to veřejné. Stáhnout si jej může každý uživatel s přístupem k internetu. Přeměna. Zahájit.
Proč tedy vyhrožovat únikem něčeho, co už všichni vidí?
V úložišti mohou být také proprietární komponenty. Směs tajných ingrediencí a otevřených receptů. S jistotou se to zatím neví. Společnost neupřesnila, zda bylo ukradeno něco skutečně unikátního, nad rámec toho, co je již viditelné online.
Ukradený token byl okamžitě deaktivován. Dveře jsou zavřené. Kvůli bezpečnosti byly instalovány nové zámky.
Pro srovnání se podívejte na Instruct. Edtech gigant zaplatil výkupné. „Dosáhli dohody“. Zní to čistě. Profesionálně.
Hackeři, kteří hackli Instructure, dvakrát prolomili zabezpečení sítě. Dvakrát. Poté pohrozili zveřejněním údajů o zaměstnancích a studentech. Masový chaos. Místo bylo znesvěceno. Instruct napsal šek.
Grafana odmítla zaplatit.
Samozřejmě citovali FBI. Rada se nemění: neplaťte. Svá data stejně nedostanete zpět. Kriminalisté únik ještě zveřejní. A teď? Jednoduše jste financovali další útok.
Kritici nenávidí ransomware. Všichni souhlasí: zaplatit výkupné je špatný precedens. Ale opravdu platíte?
Vyšetřování Grafany pokračuje. Společnost slibuje, že výsledky sdělí později. Vždy stejné: „bude určeno později“.
Kód zatím zůstává na jejich serverech. Nebo možná už je online. Záleží na tom? Už byl veřejný.
Ale problémem zde není samotný kód. Otázka v zásadě zní. Nebo v tlakových pákách.
Kdo má moc, když je zámek otevřený a truhla s pokladem nebyla úplně zamčená?
Odpověď zatím nikdo s jistotou nezná.
