Un contratista de la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) de EE. UU. cometió un grave error de seguridad al publicar accidentalmente credenciales confidenciales de la nube del gobierno en un repositorio público de GitHub llamado “Private-CISA”. El repositorio estuvo expuesto hasta mediados de mayo de 2026 y contenía datos críticos, incluyendo credenciales de AWS GovCloud y contraseñas en texto plano.

Un grave fallo de seguridad ha expuesto credenciales de la nube del gobierno de EE. UU. altamente sensibles después de que un contratista que trabajaba con la Agencia de Seguridad de Infraestructuras y Ciberseguridad (CISA) las publicara accidentalmente en un repositorio público de GitHub.

El repositorio, llamado “Private-CISA”, permaneció accesible al público hasta mediados de mayo de 2026 y contenía una amplia gama de datos sensibles, incluyendo credenciales de AWS GovCloud, contraseñas en texto plano, tokens de API y detalles de sistemas internos.

Investigadores de seguridad advierten que este incidente podría situarse entre las exposiciones de datos relacionadas con el gobierno más graves de los últimos años.

Guillaume Valadon, un investigador de GitGuardian, fue quien identificó el problema primero. Esta firma escanea continuamente los repositorios públicos en busca de secretos expuestos.

Según Valadon, el repositorio contenía información “extremadamente sensible” y los intentos de alertar al propietario no obtuvieron respuesta al principio.

Los hallazgos fueron compartidos posteriormente con KrebsOnSecurity, lo que impulsó una investigación más profunda.

Credenciales de GovCloud Expuestas

El análisis reveló que el repositorio incluía credenciales administrativas para al menos tres entornos de AWS GovCloud, diseñados específicamente para manejar cargas de trabajo sensibles del gobierno de EE. UU.

Además, un archivo llamado “AWS-Workspace-Firefox-Passwords.csv” expuso docenas de nombres de usuario y contraseñas en texto plano vinculados a sistemas internos de CISA, incluyendo un entorno DevSecOps denominado “LZ-DSO”.

Philippe Caturegli, fundador de la consultoría de seguridad Seralys, confirmó que algunas de las credenciales de AWS expuestas seguían siendo válidas en el momento del descubrimiento y proporcionaban un acceso de alto nivel.

Señaló que el repositorio también contenía credenciales para el “artifactory” interno de CISA, un sistema centralizado para almacenar y distribuir componentes de software.

Este tipo de acceso podría permitir que los atacantes inserten código malicioso en las canalizaciones de software.

Por ejemplo, si un actor de amenazas comprometiera el artifactory, podría incrustar puertas traseras en actualizaciones de software legítimas, afectando potencialmente a múltiples sistemas durante el despliegue.

Los investigadores también destacaron las deficientes prácticas de seguridad dentro del repositorio. Los datos sensibles se almacenaban en texto plano y las protecciones de escaneo de secretos integradas de GitHub habían sido desactivadas deliberadamente.

Los registros de confirmación (commit logs) sugieren que el repositorio podría haber sido utilizado como un espacio de trabajo personal o una herramienta de sincronización de archivos, en lugar de como un proyecto de desarrollo seguro.

“Los patrones indican que probablemente se utilizó para sincronizar archivos entre diferentes máquinas, posiblemente un entorno de trabajo y uno doméstico”, explicó Caturegli. “Pero eso no reduce la gravedad; de hecho, la empeora”.

KrebsOnSecurity informó que el repositorio expuesto estaba vinculado a un contratista de Nightwing, una empresa de servicios gubernamentales con sede en EE. UU.

La cuenta había estado activa desde 2018, mientras que el repositorio “Private-CISA” fue creado en noviembre de 2025.

A pesar de que el repositorio fue retirado poco después de la divulgación, se informó que las credenciales de AWS expuestas siguieron siendo válidas durante casi 48 horas más, lo que aumentó la ventana de riesgo potencial.

CISA reconoció el incidente y afirmó que lo está investigando activamente. La agencia señaló que actualmente no hay pruebas de explotación activa, pero enfatizó que se están implementando salvaguardas adicionales.

La exposición llega en un momento difícil para CISA, que según se informa ha perdido una parte significativa de su plantilla debido a recortes presupuestarios y reestructuraciones.

Expertos en seguridad advierten que tales presiones operativas pueden aumentar la probabilidad de configuraciones erróneas y errores humanos.

En general, el incidente subraya una lección crítica en ciberseguridad: incluso los entornos altamente sensibles pueden verse comprometidos por errores básicos, como una gestión deficiente de credenciales y prácticas de desarrollo inseguras.