La lección que CISA aprendió (a los golpes) en GitHub

Si pensás que los organismos de ciberseguridad de los países más poderosos del mundo tienen todo bajo control, esta historia va a hacerte replantear esa idea. La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE.UU. (CISA) acaba de publicar un análisis detallado sobre cómo uno de sus contratistas filtró decenas de credenciales internas —incluyendo claves de AWS Govcloud— en un repositorio público de GitHub durante casi seis meses, sin que nadie lo notara.

¿Qué pasó exactamente?

Un contratista de CISA subió información sensible a un repositorio público en GitHub sin darse cuenta (o sin revisarlo adecuadamente). Estamos hablando de credenciales de acceso, claves de infraestructura en la nube y datos internos que podrían haber sido usados para comprometer sistemas críticos. El problema no fue descubierto por CISA, sino por Brian Krebs, el investigador de seguridad detrás de Krebs on Security, quien notificó al organismo en julio de 2026.

Lo más preocupante: tardaron casi seis meses desde que la información fue publicada hasta que alguien la detectó. Eso significa que cualquier actor malicioso que hubiera encontrado ese repositorio habría tenido medio año de acceso a credenciales del organismo encargado de defender la infraestructura crítica de EE.UU.

CISA ya publicó su postmortem sobre el incidente, analizando qué falló en su respuesta inicial y qué lecciones quedaron claras. Y acá es donde la historia se vuelve relevante para vos.

¿Por qué debería importarte esto en Argentina y América Latina?

Primero: si CISA —con recursos prácticamente ilimitados— cometió errores tan básicos en la detección de credenciales expuestas, ¿qué esperar de organismos de ciberseguridad o empresas en nuestra región? Este es un recordatorio brutal de que ningún equipo está blindado contra los errores humanos y los procesos deficientes.

Segundo: Argentina, Brasil, México y otros países latinoamericanos están modernizando su infraestructura crítica cada vez más en la nube. Muchas organizaciones gubernamentales y privadas están usando AWS, Azure o Google Cloud sin tener los controles básicos de detección de secretos que CISA debería haber implementado hace años. Si el problema llegó a CISA, seguro está también en servidores de LATAM.

Tercero: esto muestra un patrón que hemos visto repetirse: las filtraciones de credenciales en GitHub son tan comunes que algunos atacantes las usan como primera táctica de reconocimiento antes de un ataque mayor. En ransomware, en espionaje industrial, en intrusiones sofisticadas.

¿Qué se recomienda?

CISA identifica varias fallas en su respuesta que aplican directamente a cualquier equipo de seguridad en Argentina o LATAM:

• Escaneo automático de repositorios: Implementá herramientas como GitGuardian, Truffleog o Gitleaks que escanean constantemente tus repositorios públicos y privados en busca de secretos (claves, tokens, credenciales). No es un "nice to have", es obligatorio.
• Monitoreo activo de superficies expuestas: No esperes a que un investigador externo encuentre tu problema. Usá servicios de external attack surface management que busquen automáticamente tus credenciales en GitHub, Pastebin y otros sitios públicos.
• Educación del equipo: Los contratistas y empleados necesitan entender que las credenciales nunca van en código, comentarios, o archivos de configuración hardcodeados. Esto requiere capacitación continua.
• Gestión centralizada de secretos: Usá soluciones como HashiCorp Vault, AWS Secrets Manager o Azure Key Vault. Las credenciales deben vivir en un lugar centralizado, auditado y controlado.
• Auditoría y rotación: Si una credencial fue expuesta, debés saber inmediatamente quién tiene acceso, a qué recursos, y debés rotar esas credenciales en cuestión de minutos, no de días.
• Respuesta rápida a incidentes: CISA tardó casi seis meses en descubrir el problema (porque no fue proactiva) y tardó más tiempo en responder. Diseñá un plan de respuesta que permita actuar en horas, no en semanas.

La realidad es incómoda: si CISA tiene estos problemas, es porque son problemas sistémicos que afectan a casi todo el mundo. La buena noticia es que estas soluciones existen, son relativamente asequibles y están al alcance de cualquier equipo de seguridad decente.

El mensaje es claro: no podés confiar únicamente en la detección manual o la revisión humana de código. Necesitás automatización, necesitás vigilancia continua, y necesitás procesos que escalen. Especialmente en América Latina, donde muchas organizaciones todavía están armando sus primeros equipos de ciberseguridad en serio.

Fuente: Krebs on Security