La Agencia de Ciberseguridad e Infraestructura de Seguridad de Estados Unidos (CISA) expusso accidentalmente claves SSH y contrasenas en texto plano a traves de un repositorio publico en GitHub durante varios meses. El incidente permanecis abierto hasta noviembre de 2025.

El repositorio, denominado aspiracionalemente Private-CISA, fue detectado inicialmente por GitGuardian, una empresa especializada en seguridad del codigo. La empresa notifico al equipo de CISA antes de hacer publico el hallazgo.

Segun los registros de confirmaciones del repositorio, GitHub cuenta con protecciones predeterminadas para evitar que desarrolladores inexpertos suban secretos accidentalmente. Sin embargo, estas protecciones no se activaron automaticamente en este caso.

Este no es el primer incidente de este tipo en CISA. La agencia ha tenido problemas similares anteriormente, lo que ha llevado a preguntas sobre la cultura de seguridad informatica dentro del organismo.

El incidente pone de manifiesto los riesgos de las politicas de ciberseguridad que dependen de herramientas automaticas sin supervision activa. Especialistas en seguridad senalan que la exposicion de credenciales durante meses es particularmente preocupante dado el rol de CISA.

Tras la notificacion de GitGuardian, el repositorio fue desactivado y CISA inicio una investigacion interna. Las autoridades no han revelado que informacion especifica fue expuesta ni quantos sistemas pudieron haber sido comprometidos durante el periodo de exposicion.