Çelësa SSH dhe fjalëkalime të CISA-s ekspozuar në repo publik GitHub

Hulumtuesi i sigurisë kibernetike Brian Krebs ka zbuluar se Agjencia Amerikane për Sigurinë Kibernetike dhe Infrastrukturën (CISA) ka pasur një koleksion i madh me fjalëkalime në tekst të thjeshtë, çelësa privatë SSH, tokena dhe “asete të tjera të ndjeshme” të ekspozuara në një depo publike GitHub që daton të paktën nga nëntori 2025. Depoja, e emëruar “Private‑CISA”, u vuri në vëmendje të Krebs-it nga Guillaume Valadon i GitGuardian, i cili e ka zbuluar përmes skanimeve publike të kodit dhe ka kontaktuar Krebs-in pasi nuk mori përgjigje nga pronari i depo-s.

Sipas një emaili nga Valadon, regjistrat e komitimeve tregojnë se mbrojtjet e parazgjedhura të GitHub për parandalimin e ndarjes së sekreteve – mjete të krijuara për të mbrojtur zhvilluesit e paekspertuar nga gabime të tilla – janë çaktivizuar nga administratori i depo-s. Testimet e kryera nga Philippe Caturegli, themelues i kompanisë Seralys, kanë konfirmuar se çelësat dhe kredencialet e gjetura në “Private‑CISA” mund të përdoren për të hyrë në disa llogari Amazon Web Services GovCloud me nivel të lartë privilegjeje.

Depoja duket të jetë menaxhuar nga Nightwing, një kontraktor i bazuar në Virginia për CISA-n, i cili deri tani ka shmangur komentimin publik dhe ka drejtuar pyetjet drejt agjencisë. Ky incident nuk është i vetëm për CISA-n; në janar i njëjti vit, drejtuesi në veprim i agjencisë, Madhu Gottumukkala, ka ngarkuar dokumente të ndjeshme në ChatGPT pasi mori një përjashtim nga politika që ndalon përdorimin e këtij mjeti nga stafi i CISA-s, dhe në shkurt u heq nga posti i tij.