CISA ignorovala 9 varování o úniku přihlašovacích údajů na GitHubu

Americká agentura pro kybernetickou bezpečnost a bezpečnost infrastruktury CISA čelí nepříjemné situaci poté, co se ukázalo, že interní přihlašovací údaje jejích zaměstnanců byly po delší dobu veřejně dostupné na platformě GitHub. Incident, jehož plný rozsah vyšel najevo 13. července 2026, odhalil závažné mezery v interních procesech agentury, která má paradoxně za úkol chránit americkou digitální infrastrukturu před podobnými hrozbami.

Celý příběh začal 15. května 2026, kdy společnost GitGuardian, specializující se na detekci úniků citlivých dat v repozitářích kódu, zaznamenala přítomnost interních přihlašovacích údajů CISA na GitHubu. Firma bezprostředně odeslala agentuře upozornění. Nestalo se však nic. Následovalo dalších osm automatizovaných notifikací, celkem tedy devět varovných e-mailů, na které CISA nijak nereagovala. Klíče k AWS GovCloud, cloudové infrastruktuře využívané americkými vládními institucemi, zůstaly veřejně přístupné.

Celkový objem uniklých dat dosáhl 844 megabajtů citlivých informací. Poté, co byl incident konečně eskalován a agentura na něj začala reagovat, trvalo zneplatnění kompromitovaných AWS klíčů 48 hodin – tedy dva celé dny, během nichž byly klíče stále funkční a teoreticky zneužitelné kýmkoliv, kdo by na ně narazil.

Na případ upozornil mimo jiné Guillaume Valadon, bezpečnostní expert, jehož slova vystihují podstatu problému. „Nechat devět notifikačních e-mailů bez odpovědi je způsob, jakým se jednodenní incident mění v šestiměsíční expozici, řekl Valadon. Na vyšetřování se podíleli také Preston Werntz a Brad Libbey, kteří pomáhali mapovat rozsah úniku a analyzovat, jaká data byla skutečně ohrožena.

Případ vrhá nepříznivé světlo na interní kulturu správy bezpečnostních tajemství v rámci CISA. Vývojáři agentury zjevně nevěnovali dostatečnou pozornost tomu, co zveřejňují do veřejných repozitářů, a co je ještě závažnější, ani systém příjmu externích bezpečnostních upozornění nefungoval tak, jak by měl. Devět ignorovaných e-mailů naznačuje buď systémové selhání v třídění příchozích hlášení, nebo absenci jasně definované odpovědnosti za reakci na podobné incidenty.

CISA po zveřejnění celého rozsahu incidentu přiznala, že v oblasti reakce na upozornění od externích stran má prostor ke zlepšení. Agentura přistoupila k rotaci všech kompromitovaných tajemství a klíčů a oznámila vytvoření akčního plánu zaměřeného na lepší správu vývojářských tajemství. Součástí nápravných opatření je také zlepšení komunikačních kanálů určených pro hlášení bezpečnostních incidentů, aby podobná upozornění v budoucnu nezapadla bez povšimnutí.

Ironický rozměr celé kauzy spočívá v tom, že CISA pravidelně vydává doporučení a metodické pokyny pro soukromý sektor i ostatní vládní agentury právě v oblasti správy přístupových klíčů, prevence úniků dat a rychlé reakce na bezpečnostní incidenty. Sama přitom nesplnila ani základní standard, který by od jiných vyžadovala – totiž včasnou reakci na konkrétní a opakovaná varování.

Případ rovněž ukazuje na širší problém,