Uno spiacevole evento che ha coinvolto l’agenzia americana Cybersecurity and Infrastructure Security Agency (CISA) ha scosso il mondo della sicurezza informatica.
Un collaboratore esterno della stessa, infatti, ha mantenuto fino a pochi giorni fa un archivio pubblico su GitHub dove esponeva credenziali relative a diversi account AWS GovCloud con privilegi elevati, oltre ad altri dati sensibili riguardanti l’agenzia.
Secondo vari esperti di sicurezza, il materiale accessibile pubblicamente conteneva anche file che descrivono in dettaglio i processi con cui CISA sviluppa, testa e distribuisce il proprio software. Di fatto, si parla di quello che viene già definito come uno dei casi più gravi di esposizione di dati governativi degli ultimi anni.
L’allarme è stato lanciato dal ricercatore Guillaume Valadon di GitGuardian, azienda che monitora i repository pubblici presenti su GitHub (e non solo), alla ricerca di dati sensibili esposti.
Lo stesso Valadon ha contattato KrebsOnSecurity, piattaforma di giornalismo investigativo, spiegando ciò che aveva scoperto, in quanto il titolare dell’archivio in questione risulta irreperibile.
Il repository, denominato Private-CISA, conteneva una grande quantità di file e credenziali interne legate a CISA e al Dipartimento per la Sicurezza Interna americano. Il pacchetto di informazioni includeva chiavi cloud, token di accesso, password in chiaro, registri di sistema e altri dati sensibili.
Il caso Private-CISA: password salvate in chiaro e non solo
Valadon ha sottolineato come la situazione rappresenti un esempio emblematico di cattiva gestione della sicurezza, vista la presenza di password salvate in chiaro all’interno di file CSV, backup inseriti nel repository e altre leggerezze.
L’esperto ha ammesso che, in un primo momento, aveva ipotizzato si trattasse di dati falsi, ma un’analisi più approfondita ha confermato l’autenticità delle informazioni pubblicate. Secondo Valadon, si tratta del peggior caso di esposizione dati osservata in tutta la sua carriera.
Tra i file pubblicati figurava un documento denominato importantAWStokens, contenente credenziali amministrative per tre server AWS GovCloud. Un altro file, chiamato AWS-Workspace-Firefox-Passwords.csv, includeva nomi utente e password in chiaro per decine di sistemi interni della CISA.
Philippe Caturegli, fondatore della società di consulenza Seralys, ha segnalato che l’archivio in questione conteneva anche un sistema indicato come LZ-DSO, con tutta probabilità abbreviazione di Landing Zone DevSecOps, ossia l’ambiente utilizzato dall’agenzia per lo sviluppo di codice in ambiente protetto.
Lo stesso esperto ha dichiarato di aver testato le chiavi AWS al fine di verificarne la validità e comprendere a quali risorse consentissero l’accesso. Dall’analisi è emerso che il repository sembrava essere utilizzato più come spazio operativo personale o strumento di sincronizzazione, piuttosto che come archivio vero e proprio.
L’uso combinato di un indirizzo di posta elettronica associato alla CISA e di un’email personale suggerisce che il repository fosse impiegato in ambienti diversi, probabilmente su dispositivi differenti.
Caturegli ha poi individuato una serie di credenziali in chiaro risultate collegate a risorse critiche su GovCloud che, a quanto pare, consentivano l’accesso a tre account AWS con privilegi elevati.
Se confermato, tutto ciò sarebbe molto grave. Per un cybercriminale sarebbe infatti molto facile, sfruttando tali dati sottratti, introdurre codice malevolo bei sistemi interni della CISA.
Chi è il responsabile di quanto avvenuto?
Interpellata sulla vicenda, la CISA ha dichiarato di essere a conoscenza dell’esposizione e di aver avviato un’indagine interna.
Un portavoce ha affermato che al momento non vi sono prove che dati sensibili siano stati effettivamente compromessi a seguito dell’incidente. Ha inoltre sottolineato che l’agenzia mantiene standard elevati per il proprio personale e che sono in corso misure aggiuntive per prevenire episodi simili in futuro.
Dall’analisi dell’account GitHub è emerso che il repository era gestito da un dipendente di Nightwing, un contractor governativo con sede a Dulles, in Virginia. L’azienda non ha rilasciato dichiarazioni, invitando a rivolgersi direttamente a CISA per ulteriori informazioni.
Non è stato chiarito per quanto tempo i dati siano rimasti esposti. Tuttavia, secondo Caturegli, il repository era stato creato il 13 novembre 2025, mentre l’apertura dell’account GitHub risale al settembre 2018.
Lo stesso account è stato rimosso poco dopo che la CISA è stata informata di quanto accaduto. Nonostante ciò, le chiavi AWS pubblicate sono rimaste valide per circa 48 ore dopo la segnalazione, un dettaglio che ha sollevato ulteriori preoccupazioni.
L’agenzia americana sta vivendo un momento difficile che, senza ombra di dubbio, ha favorito questa preoccupante fuga di dati.
Attualmente, CISA opera con risorse ridotte, sia in termini di budget sia di personale. Dall’inizio della seconda amministrazione Trump, l’ente ha perso quasi un terzo della propria forza lavoro a causa di pensionamenti anticipati, incentivi all’uscita e dimissioni.
Chi ha analizzato il repository, inoltre, afferma che le password usate erano tutt’altro che robuste. Anche senza un’esposizione pubblica, pratiche di questo tipo rappresentano un rischio significativo, che si parli di contesti di alto livello quanto di sistemi informatici domestici.
