CISA e il leak di credenziali su GitHub: sei mesi di esposizione e un sistema di segnalazione che ha fallito

Introduzione

La Cybersecurity and Infrastructure Security Agency (CISA), l’ente federale statunitense incaricato di proteggere le infrastrutture critiche del Paese, è stata protagonista di un grave incidente di sicurezza interno. Un collaboratore esterno (contractor) ha pubblicato su un repository GitHub pubblico circa 844 MB di dati sensibili, tra cui chiavi di amministratore per server cloud governativi e password in chiaro. L’esposizione è rimasta attiva per oltre sei mesi, nonostante nove alert automatici inviati dal sistema di scansione GitGuardian, e si è conclusa solo dopo l’intervento diretto del giornalista investigativo Brian Krebs. L’episodio, pur senza compromissioni effettive, illustra in modo emblematico come anche l’organizzazione simbolo della cybersecurity possa inciampare su processi interni inadeguati.

Analisi tecnica

Il repository incriminato, significativamente battezzato “Private CISA”, conteneva file interni non protetti per un totale di 844 MB. Nel dettaglio, emergevano:

• credenziali con privilegi amministrativi per tre server AWS GovCloud, la piattaforma cloud dedicata ai carichi di lavoro del governo statunitense;
• un file CSV con decine di nomi utente e password in chiaro di sistemi interni CISA.

GitGuardian, il servizio di scansione automatica dei segreti utilizzato dall’agenzia, aveva rilevato la fuga e inviato nove notifiche nel corso del semestre. Purtroppo, queste erano finite in un canale di segnalazione inadeguato, probabilmente associato ai processi per vulnerabilità di prodotto, e non avevano ricevuto risposta. La situazione è stata sbloccata a maggio 2026, quando Brian Krebs (KrebsOnSecurity) – dopo aver analizzato il repository – ha contattato in prima persona i vertici CISA.

La fase di contenimento ha richiesto più di 48 ore dalla notifica: un tempo insolitamente lungo, causato dalla necessità di ruotare in sicurezza tutte le chiavi compromesse e di gestire le numerose interconnessioni con partner federali e industriali che utilizzavano le medesime credenziali. L’indagine successiva, supportata da log estesi e da un’architettura zero‑trust già operativa, ha permesso di escludere qualunque accesso esterno non autorizzato, confermando che nessun dato di missione o di clienti era stato violato.

Impatto

Pur in assenza di un danno materiale immediato, il rischio potenziale è stato giudicato “alto”: chiavi amministrative di ambienti governativi avrebbero potuto essere sfruttate per muoversi lateralmente all’interno dell’infrastruttura federale o per esfiltrare dati sensibili.

L’impatto più immediato è stato di natura reputazionale. L’agenzia che scrive le linee guida per la protezione informatica nazionale ha mostrato vulnerabilità elementari – password in chiaro su un repo pubblico – e, ancora più grave, ha rivelato l’assenza di un canale efficace per le segnalazioni riguardanti la propria sicurezza interna. La rotazione straordinaria delle credenziali ha inoltre generato un significativo rallentamento operativo, con conseguente consumo di risorse e ore di lavoro per ripristinare la piena operatività.

Mitigazione

CISA ha pubblicato un’analisi post‑mortem trasparente e ha formulato diverse raccomandazioni, applicabili ben oltre il perimetro governativo:

• Scansione continua e integrata: i sistemi di rilevamento dei segreti (come GitGuardian) devono generare alert convogliati direttamente nei flussi di incident response, con metriche di presa in carico e risposta immediata.
• Canali di segnalazione separati e visibili: occorre distinguere con chiarezza i punti di contatto per vulnerabilità di prodotto da quelli per incidenti interni. Le istruzioni vanno pubblicate su security.txt, nei portali aziendali e in ogni interfaccia pubblica, con processi che impediscano lo smistamento errato.
• Rotazione delle chiavi rapida e automatizzata: i piani di revoca e rinnovo delle credenziali devono essere testati regolarmente e devono includere gli scenari che coinvolgono partner esterni, per ridurre i tempi di reazione.
• Playbook dedicati: definire procedure specifiche per i leak di credenziali su piattaforme come GitHub, integrandole nel sistema di gestione degli incidenti.
• Zero‑trust e logging esteso: l’architettura a fiducia zero ha dimostrato la sua efficacia nel contenere l’incidente. Estendere la registrazione delle attività e applicare principi di minimo privilegio resta una difesa cruciale.
• Formazione obbligatoria per i contractor: i collaboratori esterni devono essere vincolati contrattualmente alla protezione dei segreti e formati sulle policy di pubblicazione del codice, con verifiche automatiche prima di ogni commit pubblico.

FAQ

1. Come è stato scoperto l’incidente, visto che GitGuardian aveva già inviato diversi alert?
Nonostante GitGuardian avesse generato nove notifiche nell’arco di sei mesi, tali segnalazioni non sono state prese in carico perché destinate a un canale pensato per le vulnerabilità di prodotto, non per gli incidenti interni. L’effettiva presa di coscienza è avvenuta solo quando il giornalista Brian Krebs ha segnalato manualmente il repository ai vertici CISA.

2. Ci sono stati accessi non autorizzati ai server AWS GovCloud o ad altri sistemi CISA?
Secondo le indagini svolte con l’ausilio dei log e dei controlli zero‑trust, non è stato rilevato alcun accesso esterno abusivo. I dati di missione e le informazioni dei clienti sono rimasti integri. Tuttavia, la finestra di sei mesi avrebbe potuto consentire a un attaccante di muoversi senza essere scoperto, qualora non fossero state in atto le misure di contenimento.

3. Cosa cambierà in CISA dopo questo incidente?
L’agenzia ha rivisto completamente il sistema di ricezione delle segnalazioni esterne, separando i flussi dedicati alle vulnerabilità dei prodotti da quelli per le emergenze interne. Ha inoltre rafforzato le politiche di scansione automatica, introdotto playbook specifici per GitHub e reso obbligatoria una formazione più stringente per i contractor, al fine di prevenire la pubblicazione accidentale di dati sensibili.