L’analisi post-incidente di CISA evidenzia ritardi e lacune nelle segnalazioni dopo l’esposizione di credenziali GitHub

La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha pubblicato un’analisi di un’esposizione di dati in cui il repository GitHub pubblico di un appaltatore conteneva credenziali interne e altro materiale sensibile per quasi sei mesi.

Il repository, identificato come “Private CISA”, conteneva circa 844 megabyte di dati relativi alla CISA. Secondo il resoconto dell’incidente, i contenuti includevano chiavi amministrative AWS GovCloud e un file CSV contenente nomi utente e password in chiaro associati a numerosi sistemi interni. La società di sicurezza GitGuardian ha rilevato il materiale e il 15 maggio 2026 ha chiesto assistenza per avvisare la CISA.

La CISA ha confermato di aver ricevuto la segnalazione, ma ha dichiarato che sono serviti più di due giorni per revocare le chiavi AWS esposte e altri segreti. L’agenzia ha attribuito il ritardo, in parte, alla complessità dei propri sistemi e delle relative connessioni con partner governativi e del settore. La CISA ha dichiarato che da allora tutti i segreti interessati sono stati ruotati e che l’accesso dell’appaltatore è stato rimosso.

Lezioni sulla segnalazione e sulla risposta

Nella sua analisi post-incidente, la CISA ha affermato che le procedure per la gestione delle segnalazioni relative alla propria infrastruttura non erano sufficientemente chiare. I ricercatori hanno tentato diverse modalità, tra cui contattare l’appaltatore e utilizzare la piattaforma di divulgazione delle vulnerabilità dell’agenzia. Tale piattaforma era stata progettata principalmente per le vulnerabilità nei prodotti e nei servizi, anziché per gli incidenti che interessano direttamente la CISA.

L’agenzia ha dichiarato di stare rivedendo i propri canali di segnalazione e ha raccomandato alle organizzazioni di pubblicare le istruzioni in più posizioni facilmente visibili, invece di affidarsi esclusivamente a un file security.txt. Il ricercatore di GitGuardian Guillaume Valadon ha affermato che l’azienda aveva inviato nove avvisi automatici prima che il problema fosse sottoposto a un livello superiore, sostenendo che le notifiche senza risposta possono consentire a un’esposizione limitata di protrarsi.

La CISA ha inoltre individuato carenze nella documentazione relativa alla risposta agli incidenti. Sebbene l’agenzia disponesse di un playbook generale per gli incidenti di cybersecurity, questo non affrontava adeguatamente le fughe di dati che coinvolgevano GitHub e altri servizi cloud. Il piano d’azione aggiornato prevede una gestione più rigorosa dei segreti degli sviluppatori e il monitoraggio continuo dei repository di codice pubblici.

Controlli che hanno limitato l’impatto

La CISA ha dichiarato che la registrazione avanzata degli eventi e le misure di sicurezza zero trust hanno aiutato gli investigatori a determinare l’entità dell’incidente. In base alla propria analisi, l’agenzia ha riferito di non aver trovato prove dell’esposizione di dati dei clienti o relativi alle missioni, né dell’utilizzo delle credenziali al di fuori degli ambienti CISA. L’analisi post-incidente presenta l’episodio come un caso a favore della rapida rotazione dei segreti, della scansione continua e di processi accessibili per le segnalazioni esterne.