Imagina esto: la agencia gubernamental encargada de proteger la infraestructura crítica de EE.UU. de ciberataques… tiene sus propias credenciales secretas expuestas al mundo entero en GitHub. Suena a guion de película, pero es real. Aquí está la historia del repo «Private-CISA» que era todo menos privado.
Un Descubrimiento Escandaloso
El investigador de seguridad Brian Krebs, de KrebsOnSecurity, destapó la noticia: la Agencia de Ciberseguridad e Infraestructura (CISA) de EE.UU. tenía un gran almacén de contraseñas en texto plano, claves privadas SSH, tokens y «otros activos sensibles» expuestos en un repositorio público de GitHub desde, al menos, noviembre de 2025.
El repositorio, ahora fuera de línea, llevaba el irónico nombre de «Private-CISA». Fue descubierto por Guillaume Valadon de GitGuardian, gracias a los escaneos públicos de código de la empresa. Lo más preocupante: los registros de confirmación (commits) muestran que el administrador del repositorio deshabilitó las protecciones por defecto de GitHub diseñadas precisamente para evitar este tipo de fugas.
Expertos que revisaron los secretos expuestos dijeron que los registros de confirmación del repositorio de código mostraron que el contratista de CISA deshabilitó la protección incorporada de GitHub contra la publicación de credenciales sensibles en repositorios públicos.
No Era un Ejercicio Teórico
Aquí viene el golpe: las pruebas realizadas por Philippe Caturegli, fundador de Seralys, confirmaron que las credenciales eran reales y funcionales. Caturegli pudo usarlas para acceder a múltiples cuentas de Amazon Web Services GovCloud «con un alto nivel de privilegio».
El repositorio parecía estar gestionado por Nightwing, un contratista de CISA con sede en Virginia, que se ha negado a comentar públicamente el asunto.
El Congreso Pide Explicaciones (y CISA Aún Lidia con las Consecuencias)
La revelación ha desatado una tormenta política. Legisladores de ambas cámaras del Congreso están exigiendo respuestas a CISA. La senadora Maggie Hassan (D-NH) envió una carta al director interino de CISA, Nick Andersen, expresando su profunda preocupación.
«Este informe plantea serias preocupaciones respecto a las políticas y procedimientos internos de CISA en un momento de importantes amenazas de ciberseguridad contra la infraestructura crítica de EE.UU.», escribió la senadora Hassan.
El representante Bennie Thompson (D-MS) y la representante Delia Ramirez (D-Ill) hicieron eco de la alarma, señalando que los archivos expuestos proporcionaban a adversarios como China, Rusia e Irán la «información, el acceso y la hoja de ruta» para infiltrarse en las redes federales.
Pero aquí está la parte que quita el sueño: más de una semana después de que GitGuardian notificara a CISA de la fuga, la agencia aún está luchando por invalidar y reemplazar muchas de las claves y secretos expuestos.
Una Ventana de Oportunidad para los Atacantes
Dylan Ayrey, creador de la herramienta de código abierto TruffleHog, reveló a KrebsOnSecurity que, incluso días después del reporte inicial, CISA no había invalidado una clave privada RSA expuesta que otorgaba acceso total a una aplicación de GitHub propiedad de la cuenta empresarial de CISA.
«Un atacante con esta clave puede leer el código fuente de todos los repositorios en la organización CISA-IT, incluidos los repositorios privados, registrar ejecutores autónomos fraudulentos para secuestrar canalizaciones CI/CD… y modificar la configuración administrativa de los repositorios», explicó Ayrey.
Aunque esa clave específica parece haberse invalidado tras una nueva notificación, Ayrey señaló que CISA aún no ha rotado otras credenciales filtradas vinculadas a tecnologías de seguridad críticas.
Lo peor es que esta exposición no pasó desapercibida. Ayrey advierte que los grupos cibercriminales y adversarios extranjeros también monitorean los flujos públicos de datos de GitHub en busca de llaves API o SSH publicadas inadvertidamente.
«Tenemos pruebas de que los atacantes también monitorean ese torrente de datos. Cualquiera que monitoree los eventos de GitHub podría estar sentado sobre esta información», afirmó.
Un Problema Humano, No Técnico
Expertos del podcast de seguridad Risky Business analizaron el caso. Mientras James Wilson señaló que las organizaciones pueden establecer políticas para evitar que se desactiven las protecciones de GitHub, su coanfitrión Adam Boileau dio en el clavo.
«En última instancia, esto es algo que no puedes resolver con un control técnico», dijo Boileau. «Este es un problema humano donde has contratado a un contratista para hacer este trabajo y ellos han decidido por su propia voluntad usar GitHub para sincronizar contenido desde una máquina de trabajo a una máquina doméstica.»
El repositorio «Private-CISA» exhibía un patrón consistente con un operador individual usándolo como una libreta de apuntes o mecanismo de sincronización personal, no como un repositorio de proyecto curado. Un recordatorio brutal de que incluso las agencias más importantes son vulnerables a los errores básicos de sus propios empleados y contratistas. Y esta vez, el chiste se hizo realidad.
