Grafana breach caused by missed token rotation after TanStack attack
The Grafana data breach was caused by a single GitHub workflow token that slipped through the rotation process following the TanStack npm supply-chain attack last week. [...]
Prioriteit & onderbouwing
Prioriteit: Laag
Monitoren
Laag (31/100): monitoren. Zwaarst wegend: technische ernst en gemeentelijke relevantie.
midden
- Technische ernst (severity): Genormaliseerde ernst 'low'; geen CVSS-score beschikbaar.
- Categorieverhoging: Categorie 'data_leak' verhoogt de technische ernst.
laag
- Geen exploit bekend: Er is geen exploit of actief misbruik bekend.
midden
- Gemeentelijke relevantie: Relevantiescore 30/100 uit de relevantie-engine (module 5).
midden
- Technische ernst: Threat Score 35/100 x gewicht 25%.
- Exploitatie: Exploit Score 10/100 x gewicht 25%.
- Gemeentelijke relevantie: Relevantiescore 30/100 x gewicht 22%.
- Betrouwbaarheid van het signaal: Confidence 'unconfirmed' x gewicht 12%.
- Blootstellingskans: Geschatte blootstelling 30% x gewicht 10%.
- Betrouwbaarheid van de bron: Bronbetrouwbaarheid 68% x gewicht 6%.
De priority_score is de Action Urgency Score: een gewogen combinatie van de technische ernst, de exploitatie en de gemeentelijke relevantie.
Toelichting
The Grafana data breach was caused by a single GitHub workflow token that slipped through the rotation process following the TanStack npm supply-chain attack last week. [...]
Onderbouwing van de classificatie
Categorie 'data_leak' op basis van trefwoord 'data breach'. Severity 'low' bepaald op basis van: geen severity-signalen gevonden, standaard 'low'. Confidence 'unconfirmed': nieuwsbron zonder primaire bevestiging (BleepingComputer). Geen bekende leveranciers of producten herkend.
Gemeentelijke relevantie
Deze dreiging scoort 30/100 voor de gemeentelijke relevantie. Meegewogen: een leveranciers- of ketenrisico en impact op persoonsgegevens. Geraakte processen: Leveranciersketen.
Bestuurlijke duiding
Deze dreiging heeft een beperkte gemeentelijke relevantie. Bij een datalek met persoonsgegevens gelden meldplichten richting de Autoriteit Persoonsgegevens en de betrokkenen. Reguliere opvolging door ICT-beheer en de ISO volstaat; bestuurlijke betrokkenheid is op dit moment niet nodig.
Geraakte processen
Betrokken rollen
CISO · ISO · Leveranciersmanager · Privacy Officer
Operationele acties
- Bepaal de omvang en aard van de gelekte gegevens en leg dit vast.
- Betrek de Functionaris Gegevensbescherming en beoordeel de meldplicht (72 uur).
- Trek gecompromitteerde accounts en sleutels in en vernieuw deze.
Concrete stappen voor ICT-beheer en het securityteam.
Aanbevolen acties
- Onderzoek of gegevens van de organisatie zijn geraakt.
- Beoordeel of een melding bij de Autoriteit Persoonsgegevens nodig is.
- Informeer betrokkenen en ketenpartners waar nodig.
Dit zijn algemene handelingsperspectieven. Stem de opvolging af op de eigen omgeving en het ISMS van uw gemeente.
Kenmerken
- Ernst
- Laag
- Categorie
- Datalek
- Zekerheid
- Onbevestigd
- Status
- Verrijkt
- CVE's
- Geen
- Prioriteitsscore
- 31 / 100 · Laag
- Bron
- BleepingComputer
- Gepubliceerd
- 20 mei 2026