CISA rút kinh nghiệm sau sự cố lộ bí mật trên GitHub
"CISA published a postmortem after a contractor exposed internal credentials, including AWS GovCloud keys and plaintext passwords, in a public GitHub repository for nearly six months. CISA said it rotated all secrets, revoked the contractor's access, and is improving reporting channels, key management, and continuous secrets scanning; no customer or mission data was found exposed."
Sự cố cho thấy rủi ro từ lộ secrets (bao gồm AWS GovCloud keys và plaintext passwords) và nguy cơ bị lạm dụng nếu không thu hồi kịp thời; điểm then chốt là thời gian vô hiệu hóa >48 giờ và nhu cầu cải thiện kênh báo cáo sự cố.
Tác động chính nằm ở khả năng gián đoạn vận hành do phải rotate secrets và rà soát phạm vi ảnh hưởng; đồng thời, uy tín và chi phí xử lý tăng lên dù CISA khẳng định không lộ dữ liệu khách hàng/nhiệm vụ.
Cơ quan CISA công bố báo cáo hậu kiểm (postmortem) về một sự cố rò rỉ dữ liệu do nhà thầu vô tình đăng nhiều thông tin xác thực nội bộ lên kho công khai trên GitHub trong gần 6 tháng. Theo báo cáo, kho “Private CISA” chứa khoảng 844 MB dữ liệu nhạy cảm, bao gồm AWS GovCloud keys và các tệp liệt kê tên người dùng/mật khẩu dạng plaintext cho nhiều hệ thống nội bộ.
Sự việc được phát hiện sau khi hãng GitGuardian hỗ trợ thông báo cho CISA vào ngày 15/5/2026. CISA cho biết đã xoay (rotate) toàn bộ secrets và thu hồi quyền truy cập của nhà thầu, đồng thời khẳng định không phát hiện dữ liệu khách hàng hoặc dữ liệu nhiệm vụ bị lộ và các thông tin bị rò không được dùng ngoài môi trường của CISA.
Tuy nhiên, báo cáo thừa nhận thời gian vô hiệu hóa khóa AWS và các secrets khác kéo dài hơn dự kiến (hơn 48 giờ) do độ phức tạp hệ thống và phụ thuộc liên kết với đối tác. CISA cũng ghi nhận điểm cần cải thiện về kênh tiếp nhận thông báo sự cố từ bên ngoài: cần phân luồng rõ giữa sự cố ảnh hưởng tổ chức và sự cố ảnh hưởng sản phẩm/khách hàng. Khuyến nghị kỹ thuật gồm quản lý khóa tốt, quét secrets liên tục trên kho công khai, và công bố hướng dẫn báo cáo ở nhiều vị trí (ví dụ security.txt) để giảm độ trễ phản hồi.