Introduction

Une fuite de données a été découverte chez l'agence américaine de cybersécurité et de sécurité des infrastructures (CISA), après qu'un contractant a publié des clés d'accès et des secrets de l'agence sur un compte GitHub public. Les législateurs exigent des réponses sur cet incident.

Contexte Technique

Le contractant de CISA a créé un compte GitHub public appelé « Private-CISA » qui contenait des clés d'accès en texte brut à des dizaines de systèmes internes de CISA. Les experts ont constaté que les journaux de commit du référentiel de code montraient que le contractant de CISA avait désactivé la protection intégrée de GitHub contre la publication de données sensibles dans les référentiels publics.

CISA a reconnu la fuite, mais n'a pas répondu aux questions sur la durée de l'exposition des données. Les experts qui ont examiné les archives de « Private-CISA » ont constaté qu'elles dataient de novembre 2025 et présentaient un modèle cohérent avec un opérateur individuel utilisant le référentiel comme un mécanisme de synchronisation ou de travail temporaire plutôt que comme un référentiel de projet curatif.

Analyse et Implications

La fuite de données soulève des questions sérieuses sur les politiques et les procédures internes de CISA, en particulier à un moment où les menaces de cybersécurité contre les infrastructures critiques américaines sont importantes. Les législateurs ont exprimé leur inquiétude quant à la capacité de CISA à gérer son soutien contractuel et à protéger ses systèmes.

Les experts ont noté que les informations contenues dans le référentiel « Private-CISA » fournissaient un accès et une carte pour que les adversaires, tels que la Chine, la Russie et l'Iran, puissent accéder aux réseaux fédéraux. La fuite de données a également mis en évidence les risques liés à l'utilisation de plateformes de code public comme GitHub pour stocker des informations sensibles.

Perspective

Il est essentiel que CISA prenne des mesures pour contenir la fuite de données et invalider les clés d'accès exposées. Les législateurs doivent également examiner les politiques et les procédures de CISA pour garantir que de telles fuites ne se reproduisent pas à l'avenir. Les organisations qui utilisent des plateformes de code public doivent également prendre des mesures pour protéger leurs informations sensibles et mettre en place des politiques pour prévenir la publication de données sensibles.