Grafanaがハッカーにソースコード窃取被害、身代金支払いを拒否
2026年5月19日
Grafana Labs（グラファナラボ）が、ハッカーに自社のソースコードを盗まれたうえで身代金を要求された事実を公表しました。
同社は支払いを拒否し、FBI（米連邦捜査局）の長年の勧告に従う姿勢を示しています。盗まれたのはGitHubにアクセスできる認証トークンを悪用したもので、顧客データへの影響は現時点で確認されないと説明しています。
OSS（オープンソースソフトウェア）大手の対応として、業界で注目されています。
盗まれたのはGitHub環境にアクセスできる認証トークン、顧客データへの影響は現時点で確認されず
Grafana Labsは、可視化ツールGrafanaの開発元として知られるOSS企業です。同社の公式声明によれば、攻撃者は盗まれた認証トークンを悪用し、コード開発に使うGitHub環境にアクセスしました。このトークンには顧客記録や財務データへのアクセス権限はなく、リポジトリ内のソースコードを取得できる状態だったとされています。
同社はトークンを既に無効化し、再発防止のためのセキュリティ対策を追加したと説明しています。「攻撃者は当社を脅迫し、コードベースの公開を阻止するために支払いを要求してきた」と同社は述べました。Grafanaのコード自体は元々オープンソースとして公開されているため、独自コードや非公開情報が盗まれたかどうかは現時点で明らかになっていません。
なぜGrafanaは身代金支払いを拒否したのか
今回の対応は、教育テック大手Instructure（インストラクチャー）の最近の事例と対照的です。TechCrunchによれば、Instructureは数週間のうちに2度ネットワークを侵害され、職員・学生のデータ流出とウェブサイト改ざんに発展した後、攻撃者と合意に達したと報じられています。支払いの有無や金額は公表されていません。
Grafanaは、FBIが長年示してきた「被害者は身代金を支払うべきではない」という助言を引用しました。攻撃者に支払いをしても、盗まれたデータが返却される保証も、後に公開されない保証もないというのが根拠です。さらに、サイバー犯罪者への支払いは、将来の攻撃の資金源となってしまうという指摘も背景にあります。
Grafanaの場合は顧客データの流出が現時点で確認されていないため、判断のハードルが相対的に低かった点も拒否を後押ししたとみられます。
OSS企業特有の攻撃面と認証トークン管理
ソースコードを公開しているOSS企業であっても、開発インフラへの侵入は重大なリスクをもたらします。今回の事例は、コード自体が公開されているかどうかにかかわらず、GitHubのような開発基盤への不正アクセスが企業の事業運営に深刻な影響を及ぼし得ることを改めて示しました。
特に注目すべきは、侵入経路が「盗まれたトークン」だった点です。マシンID（人間ではないシステム間認証のID）や開発者用のアクセストークンは、近年のサイバー攻撃の主要な侵入経路として指摘されています。Grafanaは情報公開と支払い拒否という透明性の高いアプローチを取り、「身代金を払わない」という産業全体の規範を補強する意思を示した形になりました。
今後の注目点
Grafana Labsは現在も調査を継続しており、結論がまとまり次第追加情報を共有するとしています。独自コードや非公開情報が盗まれたかどうかは現時点で明らかになっていません。攻撃者が脅迫通りコードベースを公開するかどうか、そしてInstructureが攻撃者と結んだ合意によって、本当にデータ流出や追加の恐喝が止まるのかも、今後の焦点となります。
情報源
Open source tool maker Grafana Labs says hackers stole its code, refuses to pay ransom（TechCrunch）
FBI Internet Crime Complaint Center：ランサムウェア対策ガイダンス
TechCrunch / AP：InstructureのCanvas侵害と攻撃者との合意に関する報道
当社のメールマガジンでは、シリコンバレーの最新トレンドやビジネス戦略に関する情報を発信しています。現在は配信システムの障害のため、新規のご登録と配信を一時停止しています。再開しだい、このサイトでお知らせします。
