L’analyse post-incident de la CISA met en évidence des retards et des lacunes dans le signalement après l’exposition d’identifiants GitHub

L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a publié une analyse d’une exposition de données dans laquelle le dépôt GitHub public d’un prestataire contenait des identifiants internes et d’autres informations sensibles pendant près de six mois.

Le dépôt, identifié sous le nom de « Private CISA », contenait environ 844 mégaoctets de données liées à la CISA. Selon le compte rendu de l’incident, ces données comprenaient des clés d’administration AWS GovCloud ainsi qu’un fichier CSV contenant des noms d’utilisateur et des mots de passe en clair associés à de nombreux systèmes internes. La société de sécurité GitGuardian a détecté ces données et cherché à obtenir de l’aide pour alerter la CISA le 15 mai 2026.

La CISA a accusé réception de la notification, mais a indiqué qu’il lui avait fallu plus de deux jours pour révoquer les clés AWS exposées et d’autres secrets. L’agence a attribué ce délai en partie à la complexité de ses systèmes et de leurs connexions avec des partenaires gouvernementaux et industriels. La CISA a déclaré que tous les secrets concernés avaient depuis été renouvelés et que l’accès du prestataire avait été supprimé.

Enseignements en matière de signalement et de réponse

Dans son analyse post-incident, la CISA a déclaré que ses procédures de traitement des signalements concernant sa propre infrastructure n’étaient pas suffisamment claires. Les chercheurs ont tenté plusieurs voies, notamment en contactant le prestataire et en utilisant la plateforme de divulgation de vulnérabilités de l’agence. Cette plateforme était principalement conçue pour les vulnérabilités affectant des produits et des services, plutôt que pour les incidents touchant directement la CISA.

L’agence a déclaré qu’elle révisait ses canaux de signalement et recommandé aux organisations de publier des instructions à plusieurs endroits bien visibles, au lieu de s’appuyer uniquement sur un fichier security.txt. Le chercheur de GitGuardian Guillaume Valadon a indiqué que l’entreprise avait envoyé neuf avertissements automatisés avant que le problème ne soit transmis à un niveau supérieur, estimant que des notifications restées sans réponse peuvent permettre à une exposition limitée de perdurer.

La CISA a également relevé des faiblesses dans sa documentation relative à la réponse aux incidents. Bien que l’agence dispose d’un guide général de gestion des incidents de cybersécurité, celui-ci ne traitait pas suffisamment les fuites impliquant GitHub et d’autres services cloud. Le plan d’action révisé prévoit une gestion renforcée des secrets des développeurs ainsi qu’une surveillance continue des dépôts de code publics.

Des contrôles qui ont limité l’impact

La CISA a déclaré que l’amélioration de la journalisation et les mesures de confiance zéro avaient aidé les enquêteurs à déterminer l’ampleur de l’incident. D’après son analyse, l’agence n’a trouvé aucune preuve indiquant que des données de clients ou liées à ses missions avaient été exposées, ni que les identifiants avaient été utilisés en dehors des environnements de la CISA. L’analyse post-incident présente cet épisode comme un argument en faveur du renouvellement rapide des secrets, de l’analyse continue et de processus de signalement externe facilement accessibles.