Violazioni · 77 giorni fa
Il problema non è un leak di codice. È che un repository di build e deployment può contenere anche le credenziali che danno accesso al piano di controllo, e una copia finita su un account GitHub personale diventa un varco diretto verso ambienti cloud e di sviluppo. Qui l’errore non sta nella base di codice: sta nell’idea che un artefatto IaC sia solo sorgente e non anche segreto operativo.
CISA ha confermato che un contractor ha caricato nel proprio repository personale una copia del repository di build e deployment, includendo credenziali di amministratore, build credentials e chiavi AWS GovCloud. I log non hanno mostrato uso autorizzato delle credenziali e l’agenzia dice che non risultano esposti dati di missione o di clienti; il punto, però, è che la superficie d’impatto era il legame tra repository, account GitHub personale e infrastruttura cloud.
Per chi gestisce repository IaC o accessi AWS GovCloud, la lezione è che la compromissione può passare da un contenitore di lavoro apparentemente tecnico a chiavi ancora valide e ad alto privilegio. Se quel repository può essere copiato fuori dal perimetro ufficiale, il problema non è più il solo codice: è la fiducia riposta nei contenuti del repository stesso.
3 fonti che coprono questa storia
Lessons Learned from CISA’s Recent GitHub Leak
The Cybersecurity and Infrastructure Security Agency (CISA) has issued a postmortem on a data leak in which a contractor published dozens of internal CISA credentials -- including AWS Govcloud keys -- in a public GitHub repository for almost six months…
CISA Details Incident Response to Exposed AWS GovCloud Keys
CISA reveals how it responded after sensitive AWS GovCloud credentials and internal data were exposed in a public GitHub repository
CISA details security lapses that led to GitHub leak of passwords, cloud access keys
The agency’s blog post came as lawmakers pressed the agency for answers.
Part of the PlainSec briefing for 2026-07-13