بحسب تقارير أمنية، احتوى المستودع على مئات الميجابايت من مواد داخلية تتعلق بأنظمة الوكالة، وبقي متاحًا للجمهور لعدة أشهر قبل إزالته بعد تصعيد المشكلة.

تضمنت الملفات وثائق تقنية وبيانات إعدادات توضح كيفية قيام الوكالة ببناء البرمجيات الداخلية واختبارها ونشرها داخل بنيتها التحتية.

ولأن المستودع كان عامًا، كان بإمكان أي شخص يعثر عليه تنزيل محتواه والاطلاع على بيانات الدخول المخزنة بداخله.

ما نوع البيانات التي تم كشفها

المحتوى المسرب تضمن مجموعة واسعة من المعلومات الحساسة المرتبطة بأنظمة CISA ووزارة الأمن الداخلي، من بينها:

• أسماء مستخدمين وكلمات مرور مخزنة كنص صريح
• بيانات اعتماد لخدمات AWS GovCloud (البيئة السحابية المخصصة للجهات الحكومية الأمريكية)
• مفاتيح وصول ورموز مصادقة للخدمات السحابية
• ملفات إعدادات Kubernetes
• ملفات نشر ArgoCD
• شهادات SAML الخاصة بـ Entra ID
• سجلات تشغيلية وملفات داخلية

وأشار خبراء أمنيون إلى أن بعض هذه البيانات كانت مرتبطة بحسابات AWS GovCloud ذات صلاحيات عالية إضافة إلى العديد من الأنظمة الداخلية التابعة للوكالة.

مثل هذه البيانات—خصوصًا مفاتيح السحابة ورموز الوصول—قد تسمح بالوصول المباشر إلى البنية التحتية أو الخدمات إذا كانت لا تزال فعّالة ولديها الصلاحيات المناسبة.

كيف تم اكتشاف المشكلة

الذي اكتشف التسريب هو الباحث الأمني غيوم فالادون (Guillaume Valadon) من شركة الأمن السيبراني GitGuardian، وهي شركة متخصصة في فحص مستودعات الشيفرة العامة بحثًا عن كلمات مرور أو مفاتيح مكشوفة.

أدوات الفحص الآلية للشركة رصدت المستودع لأنه احتوى بيانات اعتماد حساسة داخل الملفات. حاولت الشركة التواصل مع صاحب الحساب أو المتعاقد المسؤول عن المستودع، لكنها لم تتلق أي رد.

بعد عدة محاولات فاشلة للتواصل، تواصل فالادون في 15 مايو مع الصحفي المتخصص في الأمن السيبراني براين كريبس (Brian Krebs)، الذي ساعد بدوره في تصعيد القضية إلى المسؤولين ونشر تقرير عنها.

بعد هذا التصعيد تم حذف المستودع من GitHub.

المخاطر المحتملة

حتى مع إزالة المستودع لاحقًا، فإن نشر هذه البيانات علنًا كان يمكن أن يخلق مخاطر كبيرة.

إذا كانت بيانات الدخول لا تزال صالحة وقت اكتشافها، فقد تسمح نظريًا بالوصول إلى:

• البنية التحتية السحابية الحكومية المستضافة في AWS GovCloud
• أنظمة التطوير والنشر الداخلية لدى CISA
• خدمات الهوية والمصادقة
• خطوط نشر البرمجيات وأدوات DevOps

وأشار الباحثون إلى أن بعض بيانات الاعتماد بدت نشطة وقت اكتشافها.

ومع ذلك، لا توجد تقارير عامة تؤكد أن جهة خبيثة استخدمت هذه البيانات قبل إزالة المستودع.

ماذا قالت CISA

اعترفت CISA بوقوع الحادث وقالت إنها تحقق في الظروف التي أدت إلى نشر المستودع.

ووفق تصريحات نقلتها عدة وسائل إعلام، أكدت الوكالة أنها لا تملك دليلًا على تعرض بيانات حساسة للاختراق أو حدوث خرق أمني فعلي.

كما أشار مسؤولون إلى أنهم يراجعون الإجراءات الأمنية لمنع تكرار حوادث مشابهة.

الحادث جذب أيضًا اهتمام الكونغرس الأمريكي، حيث طلب بعض المشرعين إحاطات رسمية لمعرفة كيف تم كشف بيانات الدخول وما إذا كانت الأنظمة الحكومية تعرضت للخطر.

لماذا كان الحادث محرجًا بشكل خاص

السبب الرئيسي لانتشار الخبر بسرعة هو أن CISA هي الوكالة المدنية الرئيسية المسؤولة عن الأمن السيبراني في الحكومة الأمريكية.

فالوكالة تنشر بانتظام إرشادات للجهات الحكومية والشركات حول مواضيع مثل:

• إدارة كلمات المرور وبيانات الاعتماد
• تخزين الأسرار الرقمية بشكل آمن
• ممارسات DevOps الآمنة
• منع تسريب البيانات الحساسة في المستودعات العامة

لذلك فإن اكتشاف بيانات اعتماد مرتبطة بالوكالة نفسها داخل مستودع GitHub عام سلط الضوء على نوع الأخطاء الأمنية التي تحذر منها عادةً المؤسسات الأخرى من الوقوع فيها.

الدرس الأوسع للحكومات والشركات

هذا النوع من الحوادث ليس نادرًا في صناعة البرمجيات. فكثيرًا ما يتم تسريب مفاتيح أو كلمات مرور بالخطأ عندما يرفع المطورون ملفات إعدادات أو بيانات اعتماد إلى أنظمة التحكم في الإصدارات مثل Git.

لهذا السبب أصبحت أدوات الفحص الآلي للمستودعات العامة جزءًا أساسيًا من منظومة الأمن السيبراني الحديثة.

وفي هذه الحالة تحديدًا، ساعد اكتشاف الباحث الأمني في إزالة المستودع قبل ظهور دليل على استغلال فعلي. ومع ذلك، يوضح الحادث كيف يمكن لخطأ بسيط في إدارة بيانات الاعتماد أن يعرّض بنية تحتية حساسة—حكومية أو تجارية—لمخاطر كبيرة.

بحسب تقارير أمنية، احتوى المستودع على مئات الميجابايت من مواد داخلية تتعلق بأنظمة الوكالة، وبقي متاحًا للجمهور لعدة أشهر قبل إزالته بعد تصعيد المشكلة.

تضمنت الملفات وثائق تقنية وبيانات إعدادات توضح كيفية قيام الوكالة ببناء البرمجيات الداخلية واختبارها ونشرها داخل بنيتها التحتية.

ولأن المستودع كان عامًا، كان بإمكان أي شخص يعثر عليه تنزيل محتواه والاطلاع على بيانات الدخول المخزنة بداخله.

ما نوع البيانات التي تم كشفها

المحتوى المسرب تضمن مجموعة واسعة من المعلومات الحساسة المرتبطة بأنظمة CISA ووزارة الأمن الداخلي، من بينها:

• أسماء مستخدمين وكلمات مرور مخزنة كنص صريح
• بيانات اعتماد لخدمات AWS GovCloud (البيئة السحابية المخصصة للجهات الحكومية الأمريكية)
• مفاتيح وصول ورموز مصادقة للخدمات السحابية
• ملفات إعدادات Kubernetes
• ملفات نشر ArgoCD
• شهادات SAML الخاصة بـ Entra ID
• سجلات تشغيلية وملفات داخلية

وأشار خبراء أمنيون إلى أن بعض هذه البيانات كانت مرتبطة بحسابات AWS GovCloud ذات صلاحيات عالية إضافة إلى العديد من الأنظمة الداخلية التابعة للوكالة.

مثل هذه البيانات—خصوصًا مفاتيح السحابة ورموز الوصول—قد تسمح بالوصول المباشر إلى البنية التحتية أو الخدمات إذا كانت لا تزال فعّالة ولديها الصلاحيات المناسبة.

كيف تم اكتشاف المشكلة

الذي اكتشف التسريب هو الباحث الأمني غيوم فالادون (Guillaume Valadon) من شركة الأمن السيبراني GitGuardian، وهي شركة متخصصة في فحص مستودعات الشيفرة العامة بحثًا عن كلمات مرور أو مفاتيح مكشوفة.

أدوات الفحص الآلية للشركة رصدت المستودع لأنه احتوى بيانات اعتماد حساسة داخل الملفات. حاولت الشركة التواصل مع صاحب الحساب أو المتعاقد المسؤول عن المستودع، لكنها لم تتلق أي رد.

بعد عدة محاولات فاشلة للتواصل، تواصل فالادون في 15 مايو مع الصحفي المتخصص في الأمن السيبراني براين كريبس (Brian Krebs)، الذي ساعد بدوره في تصعيد القضية إلى المسؤولين ونشر تقرير عنها.

بعد هذا التصعيد تم حذف المستودع من GitHub.

المخاطر المحتملة

حتى مع إزالة المستودع لاحقًا، فإن نشر هذه البيانات علنًا كان يمكن أن يخلق مخاطر كبيرة.

إذا كانت بيانات الدخول لا تزال صالحة وقت اكتشافها، فقد تسمح نظريًا بالوصول إلى:

• البنية التحتية السحابية الحكومية المستضافة في AWS GovCloud
• أنظمة التطوير والنشر الداخلية لدى CISA
• خدمات الهوية والمصادقة
• خطوط نشر البرمجيات وأدوات DevOps

وأشار الباحثون إلى أن بعض بيانات الاعتماد بدت نشطة وقت اكتشافها.

ومع ذلك، لا توجد تقارير عامة تؤكد أن جهة خبيثة استخدمت هذه البيانات قبل إزالة المستودع.

ماذا قالت CISA

اعترفت CISA بوقوع الحادث وقالت إنها تحقق في الظروف التي أدت إلى نشر المستودع.

ووفق تصريحات نقلتها عدة وسائل إعلام، أكدت الوكالة أنها لا تملك دليلًا على تعرض بيانات حساسة للاختراق أو حدوث خرق أمني فعلي.

كما أشار مسؤولون إلى أنهم يراجعون الإجراءات الأمنية لمنع تكرار حوادث مشابهة.

الحادث جذب أيضًا اهتمام الكونغرس الأمريكي، حيث طلب بعض المشرعين إحاطات رسمية لمعرفة كيف تم كشف بيانات الدخول وما إذا كانت الأنظمة الحكومية تعرضت للخطر.

لماذا كان الحادث محرجًا بشكل خاص

السبب الرئيسي لانتشار الخبر بسرعة هو أن CISA هي الوكالة المدنية الرئيسية المسؤولة عن الأمن السيبراني في الحكومة الأمريكية.

فالوكالة تنشر بانتظام إرشادات للجهات الحكومية والشركات حول مواضيع مثل:

• إدارة كلمات المرور وبيانات الاعتماد
• تخزين الأسرار الرقمية بشكل آمن
• ممارسات DevOps الآمنة
• منع تسريب البيانات الحساسة في المستودعات العامة

لذلك فإن اكتشاف بيانات اعتماد مرتبطة بالوكالة نفسها داخل مستودع GitHub عام سلط الضوء على نوع الأخطاء الأمنية التي تحذر منها عادةً المؤسسات الأخرى من الوقوع فيها.

الدرس الأوسع للحكومات والشركات

هذا النوع من الحوادث ليس نادرًا في صناعة البرمجيات. فكثيرًا ما يتم تسريب مفاتيح أو كلمات مرور بالخطأ عندما يرفع المطورون ملفات إعدادات أو بيانات اعتماد إلى أنظمة التحكم في الإصدارات مثل Git.

لهذا السبب أصبحت أدوات الفحص الآلي للمستودعات العامة جزءًا أساسيًا من منظومة الأمن السيبراني الحديثة.

وفي هذه الحالة تحديدًا، ساعد اكتشاف الباحث الأمني في إزالة المستودع قبل ظهور دليل على استغلال فعلي. ومع ذلك، يوضح الحادث كيف يمكن لخطأ بسيط في إدارة بيانات الاعتماد أن يعرّض بنية تحتية حساسة—حكومية أو تجارية—لمخاطر كبيرة.