Contraseñas y claves de administrador: datos internos de la CISA quedaron expuestos en GitHub

Casi medio año las contraseñas y claves internas de la agencia cibernética estadounidense estuvieron disponibles públicamente en GitHub, y la agencia recibió nueve notificaciones automáticas sin reaccionar. La Agencia de Seguridad Cibernética y de Infraestructura de EE. UU. (CISA) reconoció los errores tras la filtración y describió detalladamente por qué no pudo cerrar el acceso rápidamente.

En el repositorio público llamado Private CISA había 844 MB de datos internos. Un contratista publicó claves administrativas de tres servidores de Amazon AWS GovCloud, así como nombres de usuario y contraseñas de decenas de sistemas internos. Parte de las credenciales se almacenaba en texto sin formato.

La empresa GitGuardian detectó la filtración durante una comprobación automática de repositorios públicos de código. Antes de que los periodistas pidieran comentarios, el sistema notificó nueve veces al propietario, pero nadie reaccionó. La agencia supo del problema el 15 de mayo de 2026; sin embargo, desconectó las claves de la nube y otros datos importantes solo más de 48 horas después.

La agencia explicó la demora por la complejidad de sus sistemas y por los numerosos vínculos con agencias federales y organizaciones privadas. Tras el incidente, el organismo aconsejó a otras empresas ensayar con antelación la sustitución de claves y comprobar con regularidad la rapidez con que el personal puede revocar datos comprometidos.

Hubo también problemas con los canales de comunicación. Un especialista de GitGuardian intentó contactar al contratista, envió un mensaje a la plataforma de divulgación de vulnerabilidades y finalmente recurrió a un periodista. Dicha plataforma estaba destinada a informes sobre amenazas generales de ciberseguridad, no a filtraciones internas de la propia agencia.

CISA reconoció que las instrucciones para especialistas externos resultaron confusas. El organismo prometió publicar formas de contacto claras en varios lugares visibles y separar los informes sobre su propia infraestructura de las solicitudes relativas a productos y sistemas de terceros. Al responder a incidentes, la agencia tampoco había considerado las posibles filtraciones a través de GitHub y otros servicios en la nube. Ahora CISA ha reemplazado todos los secretos divulgados, ha mejorado el almacenamiento de los datos de los desarrolladores y ha comenzado a supervisar los repositorios públicos de forma continua y más rigurosa.

Según los datos del organismo, las credenciales robadas no se utilizaron fuera de su infraestructura, y la información de clientes y los datos de trabajo no resultaron afectados. La verificación de las consecuencias fue posible gracias a registros de eventos detallados y a los principios de confianza cero. Se revocó el acceso del contratista que publicó los archivos.