Une fuite GitHub expose des identifiants sensibles liés à l’agence américaine de cybersécurité CISA

Parmi les fichiers publiés figuraient des documents et des données de configuration détaillant la manière dont l’agence conçoit, teste et déploie ses logiciels et son infrastructure interne.

Comme le dépôt était public, toute personne l’ayant trouvé pouvait télécharger l’ensemble de son contenu et examiner les identifiants qu’il contenait.

Quels types de données ont été exposés

Le dépôt contenait une grande variété d’informations sensibles associées aux systèmes de CISA et du DHS :

• noms d’utilisateur et mots de passe en clair
• identifiants AWS GovCloud
• jetons d’accès et clés d’authentification cloud
• fichiers de configuration Kubernetes
• fichiers de déploiement ArgoCD
• certificats SAML liés à Entra ID
• journaux internes et fichiers opérationnels

Certains identifiants étaient associés à des comptes AWS GovCloud à privilèges élevés ainsi qu’à de nombreux systèmes internes de CISA.

Pour les experts en cybersécurité, ce type d’information — notamment les clés cloud ou les jetons d’accès — peut permettre d’accéder directement à des services ou à une infrastructure si les identifiants restent actifs et correctement autorisés.

Comment la fuite a été découverte

La fuite a été repérée par Guillaume Valadon, chercheur en sécurité chez GitGuardian, une entreprise spécialisée dans la détection d’identifiants sensibles exposés dans les dépôts de code publics.

Les outils automatisés de GitGuardian analysent en permanence des plateformes comme GitHub afin de repérer des secrets accidentellement publiés dans du code. Le dépôt a été signalé par ces outils parce qu’il contenait plusieurs identifiants intégrés dans les fichiers.

L’entreprise a tenté d’alerter le propriétaire du dépôt ou le prestataire responsable, mais n’aurait reçu aucune réponse. Après plusieurs tentatives infructueuses, Valadon a contacté le journaliste spécialisé en cybersécurité Brian Krebs le 15 mai. Celui‑ci a contribué à faire remonter l’information et à rendre l’incident public.

Peu après cette escalade, le dépôt a été retiré.

Les risques potentiels

Même si le dépôt a été supprimé relativement rapidement après la révélation publique, la situation présentait plusieurs risques.

Si certains identifiants étaient encore valides, ils auraient pu théoriquement permettre d’accéder à :

• des infrastructures cloud gouvernementales hébergées sur AWS GovCloud
• des systèmes internes de développement ou de déploiement de CISA
• des services d’identité et d’authentification
• des pipelines DevOps et outils de configuration

Les chercheurs ont indiqué que certains identifiants semblaient encore actifs au moment de leur découverte.

Cependant, les informations disponibles publiquement ne confirment pas qu’un acteur malveillant ait exploité ces accès avant la suppression du dépôt.

La réaction officielle de CISA

CISA a reconnu l’incident et indiqué examiner les circonstances entourant ce dépôt GitHub.

Selon les déclarations relayées par plusieurs médias, l’agence affirme ne disposer d’aucune preuve qu’une donnée sensible ait été compromise ou qu’une intrusion ait eu lieu.

L’agence a également indiqué revoir ses procédures afin d’éviter que des expositions similaires ne se reproduisent.

L’incident a néanmoins suscité l’attention du Congrès américain : certains élus ont demandé des explications et des briefings sur la manière dont ces identifiants ont pu être exposés et sur les risques potentiels pour les systèmes fédéraux.

Pourquoi l’affaire est particulièrement embarrassante

Cette fuite a reçu une attention particulière pour une raison simple : CISA est la principale agence civile américaine chargée de la cybersécurité.

Elle publie régulièrement des recommandations destinées aux administrations, aux entreprises et aux opérateurs d’infrastructures critiques sur des sujets tels que :

• la gestion sécurisée des identifiants
• le stockage des secrets
• les pratiques DevOps sécurisées
• la prévention des fuites de données dans les dépôts publics

Découvrir que des identifiants liés à l’agence avaient été laissés dans un dépôt GitHub public met donc en lumière exactement le type d’erreur opérationnelle que CISA conseille habituellement d’éviter.

Une leçon pour toute l’industrie du logiciel

Ce type d’incident n’est malheureusement pas rare dans l’écosystème logiciel. Les dépôts publics contiennent régulièrement des identifiants accidentellement ajoutés par des développeurs lors de commits ou de tests.

Aujourd’hui, des outils automatisés analysent en permanence ces plateformes pour détecter les secrets exposés. Dans ce cas précis, ce sont ces outils qui ont permis d’identifier rapidement le problème et de faire retirer le dépôt avant toute exploitation confirmée.

L’affaire rappelle néanmoins qu’un simple dépôt mal configuré peut potentiellement exposer l’accès à des infrastructures critiques, en particulier dans des environnements complexes comme ceux des administrations ou des grandes entreprises.