# В GitHub полгода торчали секреты CISA. Потому что кто-то отключил защиту - Site: VeraPoint News - Section: Новости - Date: 2026-05-20 - Canonical: https://verapointmedia.com/news/in-stunning-display-of-stupid-secret-cisa-credentials-found-in-public-github-repo/ - Markdown: https://verapointmedia.com/news/in-stunning-display-of-stupid-secret-cisa-credentials-found-in-public-github-repo.md - Summary: Секретные ключи, пароли и токены CISA лежали в публичном GitHub с ноября. Исследователь проверил доступ к AWS GovCloud, и всё это оказалось не шуткой. - Tags: #cisa #github #утечка #awsgovcloud #secret-scanning - Image: https://verapointmedia.com/static/content-assets/news/in-stunning-display-of-stupid-secret-cisa-credentials-found-in-public-github-repo/cover.webp ## Sources - https://arstechnica.com/information-technology/2026/05/in-stunning-display-of-stupid-secret-cisa-credentials-found-in-public-github-repo/ - https://news.google.com/rss/articles/CBMiigFBVV95cUxPczhGMzhWUzBkbWVZZkxXQ2JUd3JZZUVDZDdFVmdsckNUYXRnS1c3eDJjZExGUE96VTdDNklGaHpYOVZfaGtKZUpVbVRRMFktTlZkT214OWZoMnRfVHdnMmFUdkFuMjd6SzgxdTdrRjlXSkEwZXdrQ3Atd2Nkd1RPNkE5a2tzbVliRnc?oc=5 - https://news.google.com/rss/articles/CBMi0wFBVV95cUxPbHlneHpqTnNoUF9xMFYtbndtcTU5bVFXT3daMHdYWXpLQ19jNWJhRFhucl9tbGlZVnplamM0Unc3VTJwci0yOWtpRGhoNGh2c2NTSk5hUTgtblFqT2M4bFJxUE9wTXQydTZJQ2RfZlZYWHI5el91N2tDczdpdVJCTVlKcDBWSDVjSUwtTFlNODQwRk1YR3RfSjkwSjR6OC1lem95UVZ4eVNpNTgzOVpjb3psZlpPZGREUjJUbHFvM05GYUZxRmkwMGxkMVlZZEZadV9V?oc=5 --- Знаете, что самое обидное в хороших инструментах безопасности? Их можно выключить. Вручную. Одной галочкой. И вот тогда они перестают быть инструментами защиты, превращаясь в декорации. Речь о CISA — это американское агентство, которое буквально должно учить других, как не допускать утечек. Так вот, в их публичном GitHub-репозитории нашли пароли, SSH-ключи (это такие «мастер-ключи», которые позволяют входить на серверы без пароля, просто имея файл-ключ), токены доступа и другие чувствительные данные. Лежали они там, по данным Ars Technica и Брайана Кребса, с ноября 2025 года. То есть не минуту, не день — полгода открытым текстом. Я сначала даже улыбнулась, когда увидела название репозитория: **Private-CISA**. У него такой вид, будто кто-то сам себе решил поставить табличку «тут секретно», а потом забыл закрыть дверь на ключ. И это, увы, не метафора. GitHub придумал хитрый механизм: он сканирует код ещё до публикации и кричит «стоп!», если видит что-то похожее на пароль или ключ. Это как сигнализация в машине, которая пищит, пока ты не пристегнулся — мешает, зато спасает от глупых ошибок. Но в ноябре прошлого года администратор репозитория Private-CISA зашёл в настройки и отключил эту защиту. Одним кликом. После чего система перестала замечать, что в публичный код утекают самые настоящие ключи от королевства. Secret scanning — это именно та штука, которая обычно не даёт разработчику случайно выложить пароль в открытый доступ. Работает просто: распознаёт паттерны SSH-ключей (это файлы, которые заменяют пароль при входе на сервер — достаточно иметь такой ключ, и система открывает дверь без вопросов), токенов доступа и других секретов. Если видит совпадение — блокирует загрузку и спрашивает: ты точно уверен? Так вот, судя по логам изменений, защиту отключили осознанно. Не промахнулись мышкой, а специально сняли галочку, чтобы ничто не мешало работе. И после этого в репозиторий начали попадать приватные SSH-ключи, пароли открытым текстом и токены CISA. Шесть месяцев они лежали в открытом доступе, пока Гийом Валадон из GitGuardian — компании, которая специально ищет утечки в публичных репозиториях — не заметил странность. Он пытался достучаться до владельца, но тишина. Тогда историю передал Брайану Кребсу. А дальше случилось самое неприятное. Филипп Катурегли из Seralys проверил находку вживую и понял, что ключи рабочие. Он получил доступ к аккаунтам AWS GovCloud — это специальная, изолированная зона облака Amazon для правительственных структур США, куда не попасть с обычной регистрацией — на высоком уровне привилегий. То есть не просто посмотреть, а именно зайти и управлять. ## Когда удобнее, чем безопаснее Самый странный момент здесь даже не в том, что секреты утекли. А в том, что стандартная защита GitHub, созданная ровно для таких случаев, была отключена. То есть система вроде бы умеет подстраховывать людей от банальной ошибки, а кто-то решил: «Нет, спасибо, мне без галочки удобнее работать». Удобнее — пока не начинают торчать полгода открытые ключи к госинфраструктуре. Очень человеческий подход, ничего не скажешь. По словам Кребса, репозиторием управляла компания Nightwing — это подрядчик из Вирджинии, работающий с CISA. На момент публикации Nightwing публично не комментировала ситуацию и переадресовывала вопросы обратно в агентство. И тут возникает уже не технический, а совсем прикладной вопрос: если репозиторий ведёт подрядчик, кто проверяет, что у него включены базовые предохранители? Потому что если проверка заканчивается на уровне «ну вроде бы ребята свои», то это не контроль, а надежда. И механизм этот узнаваемый не только в США — такие истории случаются в любых компаниях, где процессы строятся на доверии, а не на автоматических проверках. ## Этот же трюк работает в любом офисе Да, CISA — американская история. Но логика тут универсальная: отключили стандартную защиту, положились на ручную дисциплину, не заметили, что секреты уже лежат в публичном месте. Это как раз тот тихий риск, который потом вылезает везде. Не обязательно через громкий взлом. Иногда всё ломается намного проще: у кого-то была лишняя уверенность, у кого-то не было нормального мониторинга, а кто-то решил, что встроенные ограничения ему мешают. Проверить у себя, кстати, можно совсем без героизма: - Включён ли у вас secret scanning в репозиториях; - Не отключали ли вы push protection — это та самая функция, которая не даёт случайно отправить секрет в GitHub при push (то есть при загрузке изменений в репозиторий); - Есть ли вообще у команды правило: ключи и токены не живут в коде, даже «на минутку». Потому что «на минутку» в таких историях обычно превращается в «с ноября». ## Январь, ChatGPT и тот же сценарий У CISA это не единственный неловкий эпизод за год. Ранее в 2026-м исполняющий обязанности директора агентства Мадху Готтумукала загрузил чувствительные документы в ChatGPT, хотя политика CISA это запрещала. Потом его сняли с должности. И вот теперь — публичный репозиторий с секретами. Не хочу звучать как человек, который любит злорадствовать над чужими провалами, но тут уже трудно не заметить закономерность: организация, которая должна задавать стандарт для других, сама снова и снова спотыкается о базовые вещи. Что с этим делать? Если вы работаете с кодом — не отключайте защитные механизмы ради скорости. Если вы руководитель — проверьте, что ваши подрядчики не хранят доступы в открытых репозиториях. А если вы просто следите за новостями — помните: иногда самая дорогая инфраструктура ломается не от хакерского гения, а от того, что кто-то просто снял галочку. И забыл про неё на полгода. ## Материалы - [Ars Technica] Secret CISA credentials found in public GitHub repo: https://arstechnica.com/information-technology/2026/05/in-stunning-display-of-stupid-secret-cisa-credentials-found-in-public-github-repo/ - [news.google.com] supporting context: https://news.google.com/rss/articles/CBMiigFBVV95cUxPczhGMzhWUzBkbWVZZkxXQ2JUd3JZZUVDZDdFVmdsckNUYXRnS1c3eDJjZExGUE96VTdDNklGaHpYOVZfaGtKZUpVbVRRMFktTlZkT214OWZoMnRfVHdnMmFUdkFuMjd6SzgxdTdrRjlXSkEwZXdrQ3Atd2Nkd1RPNkE5a2tzbVliRnc?oc=5 - [news.google.com] supporting context: https://news.google.com/rss/articles/CBMi0wFBVV95cUxPbHlneHpqTnNoUF9xMFYtbndtcTU5bVFXT3daMHdYWXpLQ19jNWJhRFhucl9tbGlZVnplamM0Unc3VTJwci0yOWtpRGhoNGh2c2NTSk5hUTgtblFqT2M4bFJxUE9wTXQydTZJQ2RfZlZYWHI5el91N2tDczdpdVJCTVlKcDBWSDVjSUwtTFlNODQwRk1YR3RfSjkwSjR6OC1lem95UVZ4eVNpNTgzOVpjb3psZlpPZGREUjJUbHFvM05GYUZxRmkwMGxkMVlZZEZadV9V?oc=5