{"title":"В GitHub полгода торчали секреты CISA. Потому что кто-то отключил защиту","url":"https://verapointmedia.com/news/in-stunning-display-of-stupid-secret-cisa-credentials-found-in-public-github-repo/","markdownUrl":"https://verapointmedia.com/news/in-stunning-display-of-stupid-secret-cisa-credentials-found-in-public-github-repo.md","language":"ru","category":"news","publishedAt":"2026-05-20T07:00:33.000Z","updatedAt":"2026-05-20T07:00:33.000Z","references":["https://arstechnica.com/information-technology/2026/05/in-stunning-display-of-stupid-secret-cisa-credentials-found-in-public-github-repo/","https://news.google.com/rss/articles/CBMiigFBVV95cUxPczhGMzhWUzBkbWVZZkxXQ2JUd3JZZUVDZDdFVmdsckNUYXRnS1c3eDJjZExGUE96VTdDNklGaHpYOVZfaGtKZUpVbVRRMFktTlZkT214OWZoMnRfVHdnMmFUdkFuMjd6SzgxdTdrRjlXSkEwZXdrQ3Atd2Nkd1RPNkE5a2tzbVliRnc?oc=5","https://news.google.com/rss/articles/CBMi0wFBVV95cUxPbHlneHpqTnNoUF9xMFYtbndtcTU5bVFXT3daMHdYWXpLQ19jNWJhRFhucl9tbGlZVnplamM0Unc3VTJwci0yOWtpRGhoNGh2c2NTSk5hUTgtblFqT2M4bFJxUE9wTXQydTZJQ2RfZlZYWHI5el91N2tDczdpdVJCTVlKcDBWSDVjSUwtTFlNODQwRk1YR3RfSjkwSjR6OC1lem95UVZ4eVNpNTgzOVpjb3psZlpPZGREUjJUbHFvM05GYUZxRmkwMGxkMVlZZEZadV9V?oc=5"],"rights":"Public user-requested reading, summarization and citation allowed. Model training requires separate permission.","contentMarkdown":"# В GitHub полгода торчали секреты CISA. Потому что кто-то отключил защиту\n\n- Site: VeraPoint News\n- Section: Новости\n- Date: 2026-05-20\n- Canonical: https://verapointmedia.com/news/in-stunning-display-of-stupid-secret-cisa-credentials-found-in-public-github-repo/\n- Markdown: https://verapointmedia.com/news/in-stunning-display-of-stupid-secret-cisa-credentials-found-in-public-github-repo.md\n- Summary: Секретные ключи, пароли и токены CISA лежали в публичном GitHub с ноября. Исследователь проверил доступ к AWS GovCloud, и всё это оказалось не шуткой.\n- Tags: #cisa #github #утечка #awsgovcloud #secret-scanning\n- Image: https://verapointmedia.com/static/content-assets/news/in-stunning-display-of-stupid-secret-cisa-credentials-found-in-public-github-repo/cover.webp\n\n## Sources\n\n- https://arstechnica.com/information-technology/2026/05/in-stunning-display-of-stupid-secret-cisa-credentials-found-in-public-github-repo/\n- https://news.google.com/rss/articles/CBMiigFBVV95cUxPczhGMzhWUzBkbWVZZkxXQ2JUd3JZZUVDZDdFVmdsckNUYXRnS1c3eDJjZExGUE96VTdDNklGaHpYOVZfaGtKZUpVbVRRMFktTlZkT214OWZoMnRfVHdnMmFUdkFuMjd6SzgxdTdrRjlXSkEwZXdrQ3Atd2Nkd1RPNkE5a2tzbVliRnc?oc=5\n- https://news.google.com/rss/articles/CBMi0wFBVV95cUxPbHlneHpqTnNoUF9xMFYtbndtcTU5bVFXT3daMHdYWXpLQ19jNWJhRFhucl9tbGlZVnplamM0Unc3VTJwci0yOWtpRGhoNGh2c2NTSk5hUTgtblFqT2M4bFJxUE9wTXQydTZJQ2RfZlZYWHI5el91N2tDczdpdVJCTVlKcDBWSDVjSUwtTFlNODQwRk1YR3RfSjkwSjR6OC1lem95UVZ4eVNpNTgzOVpjb3psZlpPZGREUjJUbHFvM05GYUZxRmkwMGxkMVlZZEZadV9V?oc=5\n\n---\n\nЗнаете, что самое обидное в хороших инструментах безопасности? Их можно выключить. Вручную. Одной галочкой. И вот тогда они перестают быть инструментами защиты, превращаясь в декорации.\n\nРечь о CISA — это американское агентство, которое буквально должно учить других, как не допускать утечек. Так вот, в их публичном GitHub-репозитории нашли пароли, SSH-ключи (это такие «мастер-ключи», которые позволяют входить на серверы без пароля, просто имея файл-ключ), токены доступа и другие чувствительные данные. Лежали они там, по данным Ars Technica и Брайана Кребса, с ноября 2025 года. То есть не минуту, не день — полгода открытым текстом.\n\nЯ сначала даже улыбнулась, когда увидела название репозитория: **Private-CISA**. У него такой вид, будто кто-то сам себе решил поставить табличку «тут секретно», а потом забыл закрыть дверь на ключ. И это, увы, не метафора.\n\nGitHub придумал хитрый механизм: он сканирует код ещё до публикации и кричит «стоп!», если видит что-то похожее на пароль или ключ. Это как сигнализация в машине, которая пищит, пока ты не пристегнулся — мешает, зато спасает от глупых ошибок. Но в ноябре прошлого года администратор репозитория Private-CISA зашёл в настройки и отключил эту защиту. Одним кликом. После чего система перестала замечать, что в публичный код утекают самые настоящие ключи от королевства.\n\nSecret scanning — это именно та штука, которая обычно не даёт разработчику случайно выложить пароль в открытый доступ. Работает просто: распознаёт паттерны SSH-ключей (это файлы, которые заменяют пароль при входе на сервер — достаточно иметь такой ключ, и система открывает дверь без вопросов), токенов доступа и других секретов. Если видит совпадение — блокирует загрузку и спрашивает: ты точно уверен?\n\nТак вот, судя по логам изменений, защиту отключили осознанно. Не промахнулись мышкой, а специально сняли галочку, чтобы ничто не мешало работе. И после этого в репозиторий начали попадать приватные SSH-ключи, пароли открытым текстом и токены CISA. Шесть месяцев они лежали в открытом доступе, пока Гийом Валадон из GitGuardian — компании, которая специально ищет утечки в публичных репозиториях — не заметил странность. Он пытался достучаться до владельца, но тишина. Тогда историю передал Брайану Кребсу.\n\nА дальше случилось самое неприятное. Филипп Катурегли из Seralys проверил находку вживую и понял, что ключи рабочие. Он получил доступ к аккаунтам AWS GovCloud — это специальная, изолированная зона облака Amazon для правительственных структур США, куда не попасть с обычной регистрацией — на высоком уровне привилегий. То есть не просто посмотреть, а именно зайти и управлять.\n\n## Когда удобнее, чем безопаснее\n\nСамый странный момент здесь даже не в том, что секреты утекли. А в том, что стандартная защита GitHub, созданная ровно для таких случаев, была отключена. То есть система вроде бы умеет подстраховывать людей от банальной ошибки, а кто-то решил: «Нет, спасибо, мне без галочки удобнее работать».\n\nУдобнее — пока не начинают торчать полгода открытые ключи к госинфраструктуре. Очень человеческий подход, ничего не скажешь.\n\nПо словам Кребса, репозиторием управляла компания Nightwing — это подрядчик из Вирджинии, работающий с CISA. На момент публикации Nightwing публично не комментировала ситуацию и переадресовывала вопросы обратно в агентство.\n\nИ тут возникает уже не технический, а совсем прикладной вопрос: если репозиторий ведёт подрядчик, кто проверяет, что у него включены базовые предохранители? Потому что если проверка заканчивается на уровне «ну вроде бы ребята свои», то это не контроль, а надежда. И механизм этот узнаваемый не только в США — такие истории случаются в любых компаниях, где процессы строятся на доверии, а не на автоматических проверках.\n\n## Этот же трюк работает в любом офисе\n\nДа, CISA — американская история. Но логика тут универсальная: отключили стандартную защиту, положились на ручную дисциплину, не заметили, что секреты уже лежат в публичном месте.\n\nЭто как раз тот тихий риск, который потом вылезает везде. Не обязательно через громкий взлом. Иногда всё ломается намного проще: у кого-то была лишняя уверенность, у кого-то не было нормального мониторинга, а кто-то решил, что встроенные ограничения ему мешают.\n\nПроверить у себя, кстати, можно совсем без героизма:\n- Включён ли у вас secret scanning в репозиториях;\n- Не отключали ли вы push protection — это та самая функция, которая не даёт случайно отправить секрет в GitHub при push (то есть при загрузке изменений в репозиторий);\n- Есть ли вообще у команды правило: ключи и токены не живут в коде, даже «на минутку».\n\nПотому что «на минутку» в таких историях обычно превращается в «с ноября».\n\n## Январь, ChatGPT и тот же сценарий\n\nУ CISA это не единственный неловкий эпизод за год. Ранее в 2026-м исполняющий обязанности директора агентства Мадху Готтумукала загрузил чувствительные документы в ChatGPT, хотя политика CISA это запрещала. Потом его сняли с должности. И вот теперь — публичный репозиторий с секретами.\n\nНе хочу звучать как человек, который любит злорадствовать над чужими провалами, но тут уже трудно не заметить закономерность: организация, которая должна задавать стандарт для других, сама снова и снова спотыкается о базовые вещи.\n\nЧто с этим делать? Если вы работаете с кодом — не отключайте защитные механизмы ради скорости. Если вы руководитель — проверьте, что ваши подрядчики не хранят доступы в открытых репозиториях. А если вы просто следите за новостями — помните: иногда самая дорогая инфраструктура ломается не от хакерского гения, а от того, что кто-то просто снял галочку. И забыл про неё на полгода.\n\n## Материалы\n\n- [Ars Technica] Secret CISA credentials found in public GitHub repo: https://arstechnica.com/information-technology/2026/05/in-stunning-display-of-stupid-secret-cisa-credentials-found-in-public-github-repo/\n- [news.google.com] supporting context: https://news.google.com/rss/articles/CBMiigFBVV95cUxPczhGMzhWUzBkbWVZZkxXQ2JUd3JZZUVDZDdFVmdsckNUYXRnS1c3eDJjZExGUE96VTdDNklGaHpYOVZfaGtKZUpVbVRRMFktTlZkT214OWZoMnRfVHdnMmFUdkFuMjd6SzgxdTdrRjlXSkEwZXdrQ3Atd2Nkd1RPNkE5a2tzbVliRnc?oc=5\n- [news.google.com] supporting context: https://news.google.com/rss/articles/CBMi0wFBVV95cUxPbHlneHpqTnNoUF9xMFYtbndtcTU5bVFXT3daMHdYWXpLQ19jNWJhRFhucl9tbGlZVnplamM0Unc3VTJwci0yOWtpRGhoNGh2c2NTSk5hUTgtblFqT2M4bFJxUE9wTXQydTZJQ2RfZlZYWHI5el91N2tDczdpdVJCTVlKcDBWSDVjSUwtTFlNODQwRk1YR3RfSjkwSjR6OC1lem95UVZ4eVNpNTgzOVpjb3psZlpPZGREUjJUbHFvM05GYUZxRmkwMGxkMVlZZEZadV9V?oc=5\n"}