CISA GitHub Credential Exposure Incident (Private-CISA Repository)

CISA GitHub Credential Exposure Incident se refiere a una filtración de datos altamente sensible descubierta el 15 de mayo de 2026 por el investigador de seguridad Guillaume Valadon (GitGuardian), en la que un empleado de la empresa contratista Nightwing (con sede en Dulles, Virginia), que trabajaba para la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA), expuso públicamente en un repositorio público de GitHub llamado "Private-CISA" una gran cantidad de credenciales en texto plano, claves de la nube, tokens de acceso y archivos internos de CISA y su agencia matriz, el Departamento de Seguridad Nacional (DHS). El repositorio, creado el 13 de noviembre de 2025, contenía archivos como "importantAWStokens" (credenciales administrativas de tres servidores de AWS GovCloud), "AWS-Workspace-Firefox-Passwords.csv" (nombres de usuario y contraseñas en texto plano para docenas de sistemas internos de CISA, incluyendo el entorno de desarrollo seguro "LZ-DSO" - Landig Zone DevSecOps), y otros documentos que detallaban cómo CISA desarrolla, prueba e implementa software internamente. Los registros de confirmación (commits) en la cuenta de GitHub infractora mostraron que el administrador deshabilitó explícitamente la configuración predeterminada de GitHub que previene la publicación de secretos (funcionalidad de detección de secretos), y utilizó contraseñas fáciles de adivinar (nombre de la plataforma seguido del año en curso). El investigador Philippe Caturegli (Seralys) probó las claves de AWS GovCloud expuestas y confirmó que eran válidas y otorgaban acceso a cuentas con altos privilegios. Caturegli también señaló que el repositorio mostraba un patrón consistente con un operador individual utilizando el repositorio como un "espacio de trabajo temporal" o "mecanismo de sincronización" entre dispositivos (posiblemente una computadora portátil del trabajo y una computadora personal). El repositorio fue desactivado poco después de que KrebsOnSecurity y Seralys notificaran a CISA, pero las claves de AWS expuestas siguieron siendo válidas durante otras 48 horas. Este incidente es particularmente embarazoso para CISA, la agencia gubernamental responsable de la ciberseguridad en toda la red federal civil y asesora sobre mejores prácticas de ciberseguridad (incluyendo el almacenamiento de contraseñas en gestores de contraseñas seguros, no en hojas de cálculo desprotegidas). La agencia ha estado operando con una fracción de su personal habitual, habiendo perdido aproximadamente un tercio de su plantilla tras los recortes, suspensiones y despidos desde el inicio del segundo mandato de la administración Trump en enero de 2025, y no cuenta con un director permanente desde la renuncia de Jen Easterly. La empresa Nightwing declinó hacer comentarios y remitió las consultas a CISA, que declaró que "no hay indicios de que se haya comprometido ningún dato confidencial como resultado de este incidente", aunque no confirmó si se detectó alguna evidencia de una brecha de seguridad ni si las credenciales expuestas fueron revocadas y reemplazadas.

Nombres Alternativos / Aliases

CISA GitHub Leak 2026 (Por el año del incidente)
Private-CISA Repository Exposure (Por el nombre del repositorio)
AWS GovCloud Credential Leak (Por las credenciales expuestas)
Nightwing Contractor Breach (Por la empresa contratista)
CISA GitHub Security Failure (Por la naturaleza del incidente)

Fecha de Detección / Actividad

Creación del Repositorio "Private-CISA": 13 de noviembre de 2025
Creación de la Cuenta de GitHub del Contratista: Septiembre de 2018
Fecha de Descubrimiento: 15 de mayo de 2026 (Valadon contacta a Krebs)
Fecha de Notificación a CISA: Mayo de 2026 (por KrebsOnSecurity y Seralys)
Fecha de Desactivación del Repositorio: Poco después de la notificación (fecha exacta no especificada)
Período de Validez de Claves AWS Tras Notificación: 48 horas adicionales
Fecha de Divulgación Pública: 18-19 de mayo de 2026
Estado: Contenido. El repositorio fue desactivado, pero la exposición prolongada (desde noviembre de 2025) y la ventana de 48 horas de claves válidas después de la notificación representan un riesgo significativo.

Actor de Amenaza (Atribución)

Nombre del Actor (Responsable de la Exposición): Empleado de Nightwing (contratista de CISA, con sede en Dulles, Virginia). La identidad específica no ha sido divulgada públicamente.
Tipo de Actor: Insider por negligencia (no malicioso, sino violación masiva de políticas de seguridad). El empleado deshabilitó deliberadamente las protecciones de seguridad de GitHub y utilizó el repositorio público como herramienta de sincronización personal.
Sofisticación (en términos de negligencia): Extremadamente baja. Las malas prácticas documentadas incluyen: (a) almacenamiento de credenciales en texto plano en hojas de cálculo CSV, (b) uso de contraseñas débiles (nombre de plataforma + año actual), (c) deshabilitación de la función de detección de secretos de GitHub (que está activada por defecto), (d) uso de un repositorio público de GitHub para sincronizar archivos entre dispositivos (en lugar de una solución segura como un gestor de contraseñas o almacenamiento cifrado), (e) inclusión de nombres de archivo que revelan explícitamente el contenido sensible ("importantAWStokens", "passwords.csv"). El hecho de que un empleado de CISA (la agencia de ciberseguridad de EE.UU.) realice estas prácticas es particularmente impactante.
Atribución a Actores Maliciosos: No se ha atribuido a ningún actor externo el uso de las credenciales, pero la exposición fue detectada por investigadores de buena fe (no por atacantes maliciosos). Se desconoce si algún actor malicioso encontró o utilizó las credenciales durante los 6 meses de exposición.

Resumen Ejecutivo

CISA GitHub Credential Exposure Incident es una de las filtraciones de datos gubernamentales más graves de la historia reciente, descubierta por el investigador de GitGuardian Guillaume Valadon el 15 de mayo de 2026. Valadon encontró que un repositorio público de GitHub llamado "Private-CISA" (propiedad de un empleado de Nightwing, un contratista de CISA) contenía una gran cantidad de credenciales en texto plano y documentos internos altamente sensibles de CISA y DHS. El repositorio, creado el 13 de noviembre de 2025, había estado expuesto durante aproximadamente 6 meses antes de su descubrimiento. Los archivos expuestos incluían:

importantAWStokens: Credenciales administrativas de tres servidores de AWS GovCloud (el entorno de nube autorizado para cargas de trabajo del gobierno de EE.UU., que requiere ciudadanía estadounidense y verificación de antecedentes). El investigador Philippe Caturegli probó estas claves y confirmó que otorgaban acceso a cuentas con altos privilegios.
AWS-Workspace-Firefox-Passwords.csv: Lista de nombres de usuario y contraseñas en texto plano para docenas de sistemas internos de CISA, incluyendo "LZ-DSO" (Landing Zone DevSecOps), el entorno seguro de desarrollo de código de la agencia, y lo que Caturegli describió como la "fábrica de artefactos" interna de CISA (Artifactory, un repositorio de todos los paquetes de código utilizados para el desarrollo de software, que representa un objetivo atractivo para atacantes que buscan mantener acceso persistente mediante la inserción de puertas traseras en paquetes de software).
Otros documentos que detallaban los procesos internos de desarrollo, prueba e implementación de software de CISA.
Los registros de confirmación (commits) mostraron que el empleado deshabilitó explícitamente la configuración predeterminada de GitHub que previene la publicación de secretos (la función de detección de secretos de GitHub estaba activada por defecto, pero el usuario la desactivó deliberadamente).
Muchas contraseñas utilizaban patrones débiles, como el nombre de la plataforma seguido del año en curso (ej., "Plataforma2025").

Valadon describió este incidente como: "Esta es, sin duda, la peor filtración que he presenciado en mi carrera. Obviamente, se trata de un error individual, pero creo que podría revelar prácticas internas". Caturegli sugirió que el patrón de confirmaciones regulares desde noviembre de 2025 indicaba que el empleado estaba utilizando GitHub como un mecanismo de sincronización entre dispositivos (posiblemente una computadora portátil del trabajo y una computadora personal), una práctica que viola todas las políticas de seguridad básicas.

Después de que KrebsOnSecurity y Seralys notificaran a CISA, el repositorio fue desactivado. Sin embargo, Caturegli afirmó que las claves de AWS expuestas siguieron siendo válidas inexplicablemente durante otras 48 horas. Un portavoz de CISA, Marco DiSandro, declaró que la agencia está "al tanto de la filtración reportada y continúa investigando la situación", y que "no hay indicios de que se haya comprometido ningún dato confidencial como resultado de este incidente". CISA no quiso confirmar si había detectado alguna evidencia de una brecha de seguridad derivada de esta exposición, ni si había revocado y reemplazado las credenciales expuestas.

El incidente es particularmente embarazoso para CISA, la agencia responsable de la ciberseguridad en toda la red federal civil y asesora sobre las mejores prácticas de ciberseguridad (incluyendo almacenar las contraseñas en gestores de contraseñas seguros y no en hojas de cálculo desprotegidas). La agencia ha estado operando con una fracción de su personal habitual, habiendo perdido aproximadamente un tercio de su plantilla tras los recortes y despidos desde el inicio del segundo mandato de la administración Trump en enero de 2025, y no cuenta con un director permanente desde la renuncia de Jen Easterly. La empresa contratista Nightwing declinó hacer comentarios y remitió las consultas a CISA.

Vectores de Ataque / Métodos de Exfiltración

Repositorio Público de GitHub: El empleado creó un repositorio público en GitHub (no privado), exponiendo los archivos a cualquier persona con acceso a internet. Cualquier usuario de GitHub podía buscar, clonar o descargar el repositorio.
Desactivación de Protecciones de Seguridad de GitHub: El empleado deshabilitó deliberadamente la función de detección de secretos de GitHub (que está activada por defecto y previene la publicación de claves SSH, tokens y otros secretos). Esta acción convirtió lo que podría haber sido un error accidental en una violación de política deliberada.
Almacenamiento de Credenciales en Texto Plano: Las credenciales se almacenaron en archivos CSV y otros formatos de texto plano, sin cifrado ni protección alguna. Esto incluyó contraseñas de sistemas internos de CISA y claves de AWS GovCloud.
Sincronización No Segura entre Dispositivos: El patrón de confirmaciones (commits) regulares desde noviembre de 2025 sugiere que el empleado estaba utilizando el repositorio público de GitHub como un "espacio de trabajo temporal" o "mecanismo de sincronización" entre dispositivos (por ejemplo, entre una computadora portátil del trabajo y una computadora personal), en lugar de utilizar soluciones seguras como un gestor de contraseñas, almacenamiento cifrado o una VPN.
Contraseñas Débiles: El uso de contraseñas predecibles (nombre de la plataforma seguido del año en curso) agrava el riesgo, ya que incluso si las credenciales no se hubieran expuesto públicamente, serían vulnerables a ataques de fuerza bruta.
Período de Exposición Prolongado: El repositorio estuvo expuesto desde el 13 de noviembre de 2025 hasta mediados de mayo de 2026 (aproximadamente 6 meses), tiempo suficiente para que actores maliciosos descubrieran y utilizaran las credenciales.
Ventana de Validez Post-Notificación: Las claves de AWS GovCloud siguieron siendo válidas durante 48 horas después de que CISA fuera notificada, tiempo durante el cual un actor malicioso podría haber accedido a los sistemas si hubiera descubierto las credenciales.

Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK (Contexto de Exposición)

Táctica (MITRE ATT&CK)	Técnica / Subtécnica	Descripción / Implementación
Initial Access (TA0001)	Valid Accounts (T1078) - Cloud Accounts (T1078.004)	Las credenciales expuestas (claves AWS GovCloud, contraseñas de sistemas internos de CISA) podrían ser utilizadas por actores maliciosos para obtener acceso inicial a sistemas gubernamentales sensibles.
Defense Evasion (TA0005)	Masquerading (T1036)	El repositorio se llamaba "Private-CISA", lo que podría inducir a error sobre su naturaleza pública.
Credential Access (TA0006)	Unsecured Credentials: Credentials In Files (T1552.001)	La causa raíz del incidente: credenciales en texto plano almacenadas en archivos CSV y otros formatos accesibles públicamente.
Discovery (TA0007)	File and Directory Discovery (T1083)	El investigador Valadon descubrió los archivos mediante escaneo automatizado de repositorios públicos de GitHub (práctica legítima de GitGuardian).
Collection (TA0009)	Data from Local System (T1005)	El empleado recopiló datos confidenciales de sistemas de CISA/DHS (credenciales, tokens, archivos internos) y los colocó en el repositorio público de GitHub.
Exfiltration (TA0010)	Exfiltration Over Web Service (T1567)	La exposición en GitHub actúa como un canal de exfiltración involuntario: cualquier persona puede descargar los archivos.
Impact (TA0040)	Data Destruction (T1485) / Financial Theft	No aplica directamente; el impacto es la pérdida de confidencialidad de credenciales y la exposición de arquitectura interna de CISA.

Flujo del Incidente (Data Breach Lifecycle - Exposición)

Recopilación de Datos (Empleado): El empleado de Nightwing (contratista de CISA) recopila credenciales de AWS GovCloud, contraseñas de sistemas internos, claves de API y otros archivos sensibles, posiblemente para fines de desarrollo, pruebas o administración.
Almacenamiento Inseguro (Empleado): El empleado crea archivos CSV y otros documentos con las credenciales en texto plano y los guarda localmente.
Carga a GitHub (Empleado): El 13 de noviembre de 2025, el empleado crea un repositorio público en GitHub llamado "Private-CISA" (un nombre engañoso, ya que el repositorio es público). Deshabilita deliberadamente la función de detección de secretos de GitHub. Carga los archivos con credenciales y realiza confirmaciones (commits) regulares desde noviembre de 2025 hasta mayo de 2026, utilizando el repositorio para sincronizar archivos entre dispositivos.
Exposición Pública (Continuo): Durante aproximadamente 6 meses, el repositorio y su contenido están accesibles públicamente para cualquier persona con acceso a internet. Cualquier actor malicioso podría haber descubierto el repositorio mediante búsquedas en GitHub, escaneos automatizados (como los que realiza GitGuardian), o simplemente por casualidad.
Detección por Investigadores de Buena Fe: El 15 de mayo de 2026, Guillaume Valadon (GitGuardian) identifica el repositorio como parte del escaneo automatizado de su empresa. Al no recibir respuesta del contratista de CISA, Valadon contacta a KrebsOnSecurity.
Notificación a CISA: KrebsOnSecurity y Seralys notifican a CISA sobre la filtración.
Respuesta de CISA: El repositorio es desactivado. Sin embargo, las claves de AWS GovCloud siguen siendo válidas durante otras 48 horas. CISA inicia una investigación.
Divulgación Pública: El 18-19 de mayo de 2026, los detalles del incidente son publicados por KrebsOnSecurity, TechCrunch y otros medios.

Infraestructura Utilizada (para la Exposición)

Tipo	Indicador / Característica	Propósito
Plataforma de Exposición	GitHub (repositorio público "Private-CISA")	Almacenamiento y exposición pública de credenciales y archivos internos de CISA/DHS.
Cuenta de GitHub	Cuenta personal del empleado de Nightwing (creada en septiembre de 2018)	Propietaria del repositorio expuesto. La cuenta fue desactivada después del incidente.
Sistemas CISA/DHS Afectados	AWS GovCloud (3 servidores), LZ-DSO (Landing Zone DevSecOps), Artifactory (repositorio de paquetes), otros sistemas internos	Sistemas cuyas credenciales fueron expuestas.
Herramienta de Detección (GitGuardian)	Escaneo automatizado de repositorios públicos de GitHub	Herramienta legítima utilizada por el investigador para descubrir la exposición.

Objetivos y Sectores Afectados

Organización Afectada: Agencia de Ciberseguridad y Seguridad de Infraestructura (CISA) del gobierno de Estados Unidos, parte del Departamento de Seguridad Nacional (DHS).
Sector: Gobierno Federal de EE.UU., Ciberseguridad, Infraestructura Crítica (CISA es la agencia responsable de la ciberseguridad en toda la red federal civil).
Contratista Afectado: Nightwing (Dulles, Virginia), contratista gubernamental de seguridad.
Plataformas Afectadas: AWS GovCloud (entorno de nube autorizado para cargas de trabajo del gobierno de EE.UU.), GitHub (repositorio público), sistemas internos de CISA (LZ-DSO, Artifactory, etc.).
Datos Expuestos: Claves de AWS GovCloud (credenciales administrativas de tres servidores), nombres de usuario y contraseñas en texto plano de docenas de sistemas internos de CISA, tokens de acceso, archivos internos de CISA/DHS, documentación de procesos de desarrollo, prueba e implementación de software.
Distribución Geográfica: Estados Unidos (CISA/DHS y Nightwing tienen su sede en EE.UU.).

Impacto y Riesgo

Nivel de Riesgo: Crítico para la seguridad nacional de EE.UU. El compromiso de credenciales de AWS GovCloud (entorno de nube autorizado para cargas de trabajo gubernamentales) y sistemas internos de CISA podría permitir a un actor malicioso acceder a sistemas de ciberseguridad gubernamentales altamente sensibles, robar información clasificada, insertar puertas traseras en paquetes de software, o interrumpir operaciones críticas.
Impacto Potencial:
- Acceso No Autorizado a AWS GovCloud: Las claves de AWS GovCloud expuestas otorgaban acceso a cuentas con altos privilegios. Un actor malicioso podría haber: (a) accedido a datos sensibles almacenados en GovCloud, (b) desplegado su propia infraestructura maliciosa dentro del entorno de GovCloud, (c) utilizado los recursos de GovCloud para lanzar ataques contra otros sistemas, (d) exfiltrado datos confidenciales del gobierno.
- Compromiso de la Cadena de Suministro de Software de CISA: La exposición de credenciales para la "fábrica de artefactos" (Artifactory) es particularmente peligrosa. Un atacante podría insertar puertas traseras en paquetes de software que CISA desarrolla y distribuye, comprometiendo potencialmente la cadena de suministro de software de la agencia.
- Movimiento Lateral (Pivoting): Un atacante con acceso a credenciales de sistemas internos de CISA podría moverse lateralmente dentro de la red de CISA/DHS, escalar privilegios y acceder a sistemas aún más sensibles.
- Daño Reputacional a CISA: Este incidente es profundamente embarazoso para CISA, la agencia que asesora sobre las mejores prácticas de ciberseguridad. La exposición revela que la propia agencia no sigue esas prácticas básicas (almacenamiento de contraseñas en texto plano, desactivación de protecciones de seguridad).
- Pérdida de Confianza: La capacidad de CISA para liderar los esfuerzos de ciberseguridad a nivel federal se ve seriamente cuestionada. Los socios internacionales y el público pueden perder la confianza en la agencia.
- Impacto en la Plantilla de CISA: La agencia ya había perdido un tercio de su personal antes de este incidente. Este evento podría exacerbar la crisis de retención de talento y dificultar aún más la contratación.
- Riesgo de Explotación por Actores Extranjeros: Aunque no se ha confirmado que actores maliciosos hayan utilizado las credenciales, el período de exposición de 6 meses es tiempo más que suficiente para que adversarios extranjeros (como los grupos APT patrocinados por China, Rusia, Irán o Corea del Norte) hayan descubierto y utilizado las credenciales. CISA declaró que "no hay indicios de que se haya comprometido ningún dato confidencial", pero la falta de detección no equivale a una garantía de seguridad.
Contexto de la Administración Trump: El incidente ocurrió en un contexto de recortes significativos en CISA (pérdida de un tercio de la plantilla) y la ausencia de un director permanente desde enero de 2025, lo que puede haber contribuido a una disminución de la supervisión y el cumplimiento de las políticas de seguridad.

Recomendaciones de Mitigación (para CISA y organizaciones similares)

Respuesta Inmediata y Rotación de Credenciales (M1026, M1053):
- Revocar y reemplazar inmediatamente todas las credenciales expuestas: Claves de AWS GovCloud, contraseñas de sistemas internos de CISA, tokens de acceso, claves SSH, etc. El hecho de que las claves de AWS siguieran siendo válidas 48 horas después de la notificación es inaceptable. Las organizaciones deben tener procedimientos para la rotación de emergencia de credenciales en minutos, no días.
- Auditar logs de acceso a AWS GovCloud y sistemas internos durante todo el período de exposición (noviembre 2025 - mayo 2026) para detectar cualquier acceso no autorizado.
- Revisar la "fábrica de artefactos" (Artifactory) en busca de paquetes de software modificados o puertas traseras insertadas durante el período de exposición.
Fortalecimiento de Políticas de Seguridad para Contratistas (M1018, M1028):
- CISA debe revisar y reforzar las políticas de seguridad para contratistas, incluyendo la prohibición explícita de: (a) almacenar credenciales en texto plano, (b) usar repositorios públicos de GitHub para cualquier dato relacionado con CISA/DHS, (c) deshabilitar protecciones de seguridad de plataformas (como la detección de secretos de GitHub).
- Implementar soluciones de gestión de secretos (Secrets Management) como HashiCorp Vault, AWS Secrets Manager, o Azure Key Vault para eliminar la necesidad de almacenar credenciales en archivos.
- Prohibir la sincronización entre dispositivos mediante repositorios públicos o cualquier servicio no autorizado. Los empleados deben usar soluciones aprobadas (VPN, almacenamiento cifrado corporativo, gestores de contraseñas).
Detección y Monitoreo Continuo (M1040, M1047):
- Implementar herramientas de escaneo de repositorios públicos de GitHub (como GitGuardian, que descubrió este incidente) para detectar automáticamente la exposición de secretos. Estas herramientas deben alertar a los equipos de seguridad en tiempo real.
- Habilitar la función de detección de secretos de GitHub para todas las cuentas de la organización y evitar que los usuarios puedan deshabilitarla mediante políticas de organización.
- Monitorear commits sospechosos que deshabiliten protecciones de seguridad o que contengan archivos con nombres como "passwords", "tokens", "secrets", "keys".
Concientización y Capacitación en Seguridad (M1017):
- Capacitación obligatoria para todos los empleados y contratistas sobre las políticas de seguridad de CISA, con énfasis en: (a) almacenamiento seguro de credenciales, (b) prohibición de repositorios públicos para datos sensibles, (c) uso de gestores de contraseñas.
- Incorporar este incidente como caso de estudio en la capacitación para demostrar las consecuencias de las malas prácticas de seguridad.
Refuerzo de la Supervisión y el Cumplimiento (M1018, M1047):
- CISA debe realizar auditorías periódicas de las prácticas de seguridad de los contratistas, incluyendo revisiones de sus cuentas de GitHub, configuraciones de seguridad y cumplimiento de políticas.
- Implementar consecuencias claras (incluyendo la rescisión de contratos) para los contratistas que violen las políticas de seguridad.
- Restablecer la plantilla de CISA y nombrar un director permanente para restaurar la capacidad de supervisión y liderazgo de la agencia.

Herramientas de Detección

GitGuardian: Herramienta de escaneo de repositorios públicos de GitHub para detectar secretos expuestos. Fue la herramienta utilizada por el investigador Valadon para descubrir el incidente.
Funcionalidad de Detección de Secretos de GitHub: Funcionalidad incorporada en GitHub que previene la publicación de secretos (claves SSH, tokens, etc.). El empleado la deshabilitó deliberadamente; las organizaciones deben impedir que los usuarios la deshabiliten mediante políticas.
Monitoreo de GitHub (GHAS - GitHub Advanced Security): Proporciona capacidades de escaneo de secretos y detección de vulnerabilidades en repositorios.
SIEM / Análisis de Logs de AWS: Herramientas de SIEM pueden correlacionar logs de acceso de AWS CloudTrail con los períodos de exposición para identificar intentos de acceso no autorizados.
Análisis de Comportamiento de Usuarios (UEBA): Detectar comportamientos anómalos de usuarios, como la creación de repositorios públicos con nombres engañosos ("Private-CISA") o la desactivación de funciones de seguridad.

Referencias y Fuentes

Whittaker, Z. (2026, 19 de mayo). La agencia cibernética estadounidense CISA expuso grandes cantidades de contraseñas y claves de la nube a la web abierta. TechCrunch. (Artículo proporcionado por el usuario).
Krebs, B. (2026, 18 de mayo). Un administrador de CISA filtró claves de AWS GovCloud en Github. KrebsOnSecurity. (Artículo proporcionado por el usuario).
Valadon, G. (2026). GitGuardian Researcher. (Declaraciones citadas en los artículos).
Caturegli, P. (2026). Seralys Founder. (Declaraciones citadas en los artículos).
DiSandro, M. (2026). CISA Spokesperson. (Declaraciones citadas en los artículos).
MITRE ATT&CK Framework. Enterprise Matrix. (Para mapeo de TTPs).

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-05-20	1.0	Fernando Vargas Hincapié	Creación inicial de la entrada basada en informes de KrebsOnSecurity y TechCrunch sobre la filtración de GitHub de CISA.

Indicadores de Compromiso (IOCs)

Tipo	Valor
Organización Afectada	CISA (Agencia de Ciberseguridad y Seguridad de Infraestructura de EE.UU.), DHS (Departamento de Seguridad Nacional)
Contratista Afectado	Nightwing (Dulles, Virginia)
Repositorio Expuesto	"Private-CISA" (GitHub)
Cuenta de GitHub	Cuenta personal del empleado de Nightwing (creada septiembre 2018, desactivada después del incidente)
Fecha de Creación del Repositorio	13 de noviembre de 2025
Período de Exposición	13 de noviembre de 2025 - mediados de mayo de 2026 (~6 meses)
Fecha de Descubrimiento	15 de mayo de 2026
Fecha de Notificación a CISA	Mayo de 2026
Ventana de Validez Post-Notificación	48 horas (claves AWS GovCloud válidas después de la notificación)
Archivos Expuestos	`importantAWStokens` (credenciales AWS GovCloud), `AWS-Workspace-Firefox-Passwords.csv` (contraseñas de sistemas internos de CISA), otros archivos internos
Plataformas Afectadas	AWS GovCloud (3 servidores), LZ-DSO (Landing Zone DevSecOps), Artifactory (repositorio de paquetes), sistemas internos de CISA
Tipo de Credenciales Expuestas	Claves de AWS (GovCloud), nombres de usuario y contraseñas en texto plano, tokens de acceso, claves SSH
Nivel de Privilegio de Credenciales	Alto (acceso administrativo a AWS GovCloud y sistemas internos de CISA)
Investigador que Descubrió	Guillaume Valadon (GitGuardian)
Investigador que Validó Claves	Philippe Caturegli (Seralys)
Medio de Notificación	KrebsOnSecurity
Estado de la Cuenta GitHub	Desactivada después de la notificación
Pérdida de Personal de CISA	~1/3 de la plantilla (desde enero 2025)
Director de CISA	Vacante desde el 20 de enero de 2025
Comportamiento Anómalo (GitHub)	Repositorio público con nombre "Private-CISA" (engañoso)
Comportamiento Anómalo (GitHub)	Desactivación de la función de detección de secretos de GitHub
Comportamiento Anómalo (Archivos)	Almacenamiento de credenciales en texto plano en archivos CSV
Comportamiento Anómalo (Archivos)	Nombres de archivo explícitos: `importantAWStokens`, `passwords.csv`
Comportamiento Anómalo (Contraseñas)	Contraseñas débiles (nombre de plataforma + año actual)
Comportamiento Anómalo (Patrón de Uso)	Commits regulares desde noviembre 2025, sugiere sincronización entre dispositivos

Etiquetas / Categorías

cisa nightwing github aws-govcloud credential-exposure data-leak gitguardian krebsonsecurity techcrunch guillaume-valadon philippe-caturegli seralys dhs department-of-homeland-security private-cisa importantawstokens lz-dso artifactory supply-chain-risk insider-negligence federal-government cybersecurity ciberwiki zack-whittaker brian-krebs marco-disandro aws-govcloud-leak cisa-breach nightwing-contractor github-leak