CISA GitHub外洩事件：承包商誤把政府雲端金鑰與密碼公開

其中部分憑證與高權限的 AWS GovCloud 帳戶相關。AWS GovCloud 是亞馬遜為美國政府與高度敏感工作負載設計的專用雲端環境。

安全專家指出，如果這些金鑰在外洩時仍然有效，理論上可能讓攻擊者直接存取雲端資源或內部服務。

研究人員如何發現這個漏洞

這次事件是由 GitGuardian 的安全研究員 Guillaume Valadon 發現。GitGuardian 是一家專門掃描公開程式碼平台、尋找洩漏憑證的安全公司。

其自動掃描系統在 GitHub 上偵測到儲存庫中包含敏感金鑰與憑證。公司隨即嘗試聯絡相關帳戶或承包商，但沒有得到回應。

在多次通知未果後，Valadon 於 5月15日 聯絡知名資安記者 Brian Krebs。Krebs 隨後將事件通報並公開報導，問題因此被迅速升級處理。

在事件曝光後，該 GitHub 儲存庫很快被下架。

可能帶來的安全風險

即使儲存庫在曝光後被移除，這類外洩仍然存在多種潛在風險。

如果部分憑證當時仍有效，可能允許存取：

• AWS GovCloud 上的政府雲端基礎設施
• CISA 的內部開發或部署系統
• 身分驗證與存取管理服務
• DevOps 管線或配置系統

研究人員表示，在發現時部分憑證似乎仍然處於可用狀態。

不過，目前公開報導尚未證實是否有人在儲存庫被移除前惡意使用這些憑證。

CISA 的官方說法

CISA 已承認此事件並表示正在調查相關情況。

根據多家媒體報導，該機構表示沒有證據顯示敏感資料遭到濫用，也沒有確認的系統入侵。

美國國會部分議員也要求進一步簡報，以了解這些憑證是如何外洩，以及是否對聯邦系統造成風險。

為何這起事件特別尷尬

這起事件之所以引發廣泛關注，是因為 CISA 本身就是美國政府的主要民間網路安全機構。

CISA 長期向政府部門、企業與關鍵基礎設施營運者發布安全指引，例如：

• 憑證管理（credential management）
• 安全的秘密儲存（secret storage）
• DevOps 安全流程
• 避免在公開儲存庫暴露敏感資料

因此，當與該機構相關的帳密被發現在公開 GitHub 上時，等同於犯了它自己平常警告別人不要犯的錯誤。

這起事件帶來的更大教訓

其實，這類問題在軟體產業並不少見。開發者有時會不小心把金鑰或配置檔提交到版本控制系統，導致憑證被公開。

現在許多安全公司會持續掃描 GitHub 等平台，以偵測外洩的 API 金鑰、密碼或存取權杖。在這起事件中，也正是這類掃描工具讓研究人員及早發現問題，並在確認沒有遭濫用前就將儲存庫下架。

然而，它仍再次提醒一件事：

在複雜的政府或大型企業環境中，只要一個設定錯誤的儲存庫，就可能讓關鍵基礎設施暴露在風險之中。