קבלן של CISA חשף מפתחות AWS GovCloud וסיסמאות במאגר GitHub ציבורי, לפי Krebs
לפי KrebsOnSecurity מ-18 במאי 2026, מאגר GitHub ציבורי בשם Private-CISA הכיל מפתחות ל-AWS GovCloud וסיסמאות בטקסט גלוי למערכות פנימיות של CISA. הסוכנות מאשרת שהיא חוקרת.
TL;DR בקצרה
- לפי Krebs, אדם מטעם הקבלן Nightwing פרסם מאגר ציבורי ובו מפתחות ניהול ל-AWS GovCloud וסיסמאות לעשרות מערכות פנימיות של CISA.
- יומני השינויים מראים שהמשתמש כיבה את ההגנה של GitHub מפני פרסום סודות.
- מפתחות ה-AWS נשארו תקפים כ-48 שעות אחרי שהסוכנות קיבלה התראה.
- CISA מאשרת שהיא חוקרת ואומרת שאין סימן שמידע רגיש נפגע.
לפי KrebsOnSecurity, מאגר GitHub ציבורי בשם Private-CISA חשף מפתחות וסיסמאות למערכות פנימיות של CISA. את המאגר פרסם אדם מטעם קבלן של הסוכנות. הדיווח התפרסם ב-18 במאי 2026. CISA, סוכנות הסייבר האמריקאית, מאשרת שהיא מודעת לחשיפה וחוקרת אותה. לדבריה, נכון לדיווח אין סימן לפגיעה במידע רגיש.
מה חשף מאגר Private-CISA ב-GitHub
חוקר GitGuardian, גיום ולדון, פנה ל-Krebs ב-15 במאי. בעל החשבון לא הגיב אליו. עובד של Nightwing, קבלן ממשלתי, ניהל את המאגר. Nightwing סירבה להגיב והפנתה את השאלות ל-CISA.
לפי Krebs, בקובץ בשם importantAWStokens היו פרטי ניהול לשלושה שרתי AWS GovCloud. בגיליון CSV נוסף היו שמות משתמש וסיסמאות בטקסט גלוי לעשרות מערכות פנימיות. ביניהן סביבת הפיתוח המאובטחת של הסוכנות. היו שם גם פרטי כניסה ל-artifactory, המאגר שבו שמורות חבילות הקוד לבנייה.
המאגר נוצר ב-13 בנובמבר 2025. יומני השינויים מראים שהמשתמש כיבה את הגדרת ברירת המחדל של GitHub. ההגדרה הזאת חוסמת פרסום של מפתחות SSH וסודות אחרים. פיליפ קטורגי מחברת Seralys בדק את המפתחות. הם התחברו לשלושה חשבונות GovCloud בהרשאה גבוהה.
החשבון ב-GitHub ירד זמן קצר אחרי שהודיעו ל-CISA. מפתחות ה-AWS נשארו תקפים כ-48 שעות נוספות.
למה הדליפה הזאת חמורה
לפי קטורגי, הגישה ל-artifactory שווה לתוקף במיוחד. חבילה שעברה שינוי זדוני יכולה להתפשט לבניות הבאות, ולתת לתוקף אחיזה קבועה. זו אותה לוגיקה של התקפות שרשרת אספקה.
לדבריו, רבות מהסיסמאות עקבו אחרי דפוס צפוי, שם הפלטפורמה ושנה. סיסמה כזאת קלה לניחוש גם בלי שום דליפה. ולדון אמר שזו הדליפה הגרועה ביותר שפגש בקריירה שלו.
קטורגי משער שהקבלן השתמש במאגר כדי להעביר קבצים בין מחשב העבודה למחשב הביתי. הנתונים לא מאשרים זאת. תרחיש כזה אפשרי בכל ארגון שבו עובדים מסנכרנים חומר עבודה לחשבונות אישיים.
איך מונעים דליפה כמו Private-CISA, ומה קרה אחרי הפרסום
מה קרה מאז: ב-22 במאי דיווח Krebs על שני מכתבים מ-19 במאי. הסנטורית מגי הסן והנציג בני תומפסון דרשו תשובות מראש CISA בפועל, ניק אנדרסן. לפי חוקר האבטחה דילן איירי, מפתח RSA פרטי מהמאגר נתן גישה לאפליקציית GitHub. לאפליקציה הייתה הרשאה מלאה לכל מאגרי הקוד של CISA. CISA מסרה שהיא פועלת להחלפת הסודות שדלפו, ולא ענתה כמה זמן הם היו חשופים.
לפי התיעוד של GitHub, ההגנה push protection נגד סודות פעילה כברירת מחדל ברמת המשתמש ב-GitHub.com. המשתמש יכול לעקוף חסימה בדחיפות שלו. ברמת המאגר ההגנה כבויה כברירת מחדל, ומנהל צריך להפעיל אותה. כברירת מחדל כל מי שיש לו הרשאת כתיבה יכול לעקוף חסימה.
מה זה אומר עבורכם
- חשבונות עבודה בלבד: קבעו שקוד ומסמכי עבודה לא עולים לחשבונות GitHub אישיים. בדקו מי בצוות עושה זאת.
- הפעילו הגנה מפני סודות: הפעילו push protection ו-secret scanning בארגון. הגבילו מי רשאי לעקוף חסימה.
- בלי סיסמאות בקובץ: שמרו סיסמאות במנהל סיסמאות, ולא בקובץ CSV. אל תשתמשו בדפוס צפוי כמו שם מערכת ושנה.
- בטלו הכול, ומהר: אחרי דליפה בטלו מפתחות ענן מיד, ובדקו ביומני הענן אם השתמשו בהם. כללו גם מפתחות RSA ואסימוני אפליקציות, לא רק סיסמאות.
מקורות והרחבה
- CISA Admin Leaked AWS GovCloud Keys on GitHubKrebsOnSecurity
- Lawmakers Demand Answers as CISA Tries to Contain Data LeakKrebsOnSecurity
- About push protectionGitHub Docs
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
