Date sensibile ale agenției americane CISA, expuse în mod neglijent pe GitHub

Într-un episod surprinzător de neglijență în securitatea cibernetică, Agenția pentru Securitatea și Infrastructura Cibernetică a Statelor Unite (CISA) a fost recent victima unei expuneri masive de date sensibile. Brian Krebs, un cunoscut cercetător în domeniul securității, ne informează că un depozit public pe GitHub, denumit ironic „Private-CISA”, a găzduit de la noiembrie 2025 parole în format text simplu, chei private SSH, token-uri și alte active sensibile ale CISA.

Descoperirea a venit din partea lui Guillaume Valadon de la GitGuardian, care a fost alertat despre prezența acestui depozit prin scanările publice de cod ale companiei. Valadon a contactat apoi pe Krebs după ce nu a primit niciun răspuns de la administratorul depozitului „Private-CISA”.

Valadon a explicat într-un email că logurile de commit ale depozitului arată că protecțiile implicite ale GitHub, menite să prevină astfel de scurgeri de informații, au fost dezactivate de administratorul depozitului. Philippe Caturegli, fondatorul Seralys, a testat și confirmat că acele credențiale erau autentice și că a reușit să acceseze conturi multiple ale Amazon Web Services GovCloud cu „un nivel înalt de privilegii”.

Se pare că depozitul era gestionat de Nightwing, un contractor CISA din Virginia, care până acum nu a oferit niciun comentariu public, redirecționând toate întrebările către CISA.

Aceasta nu este prima dată când CISA face greșeli de acest gen. În ianuarie, directorul interimar al CISA, Madhu Gottumukkala, a încălcat procedurile agenției încărcând documente guvernamentale sensibile pe ChatGPT, după ce a obținut o excepție de la politica care interzice folosirea ChatGPT de către personalul CISA. Gottumukkala a fost demis din funcție în februarie.

Aceste incidente subliniază vulnerabilitățile semnificative în gestionarea datelor sensibile și necesitatea unor măsuri de securitate mai stricte în instituțiile guvernamentale. Ele ne reamintesc că, în era digitală, protecția informațiilor ar trebui să fie o prioritate absolută, nu doar o formalitate.

Sursa: Ars Tehnica Technology

Știință&Tehnică

Revista “Ştiinţă şi Tehnică“, cea mai cunoscută şi longevivă publicaţie de popularizare a ştiintelor din România