CISAのデータ漏洩、議員らが説明を要求 - GitHubに機密情報が公開される
Lawmakers Demand Answers as CISA Tries to Contain Data Leak
米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)の契約社員が、AWS GovCloudキーやその他の機密情報をGitHubに意図的に公開したことが明らかになり、連邦議会の議員らがCISAに対し説明を要求している。この情報漏洩は、CISAが依然として侵害への対応と漏洩した認証情報の無効化に苦慮している中で発生した。問題の契約社員は、GitHub上に「Private-CISA」という公開プロフィールを作成し、多数の内部システムへの平文認証情報を掲載していた。コミットログからは、この契約社員が機密情報を公開リポジトリに投稿することに対するGitHubの組み込み保護機能を無効にしていたことが示唆されている。CISAはこの漏洩を認めているが、情報公開の期間については質問に答えていない。専門家によると、このリポジトリは2025年11月に作成された可能性があり、単一のオペレーターがプロジェクトリポジトリではなく、作業用スクラッチパッドや同期メカニズムとして使用していたパターンを示しているという。CISAは「インシデントの結果として機密データが侵害された兆候はない」と声明を発表したが、議員らはセキュリティ体制や契約管理能力について懸念を表明している。漏洩した認証情報には、CISAの全コードリポジトリへのアクセス権を持つGitHubアプリに紐づいたRSA秘密鍵も含まれており、攻撃者はこれを利用してソースコードの閲覧、CI/CDパイプラインの乗っ取り、リポジトリの管理設定の変更などが可能になる。CISAはセキュリティ企業GitGuardianからの通知から1週間以上経過しても、漏洩したキーや秘密情報の無効化と置換作業を続けている。
- CISAの契約社員がAWS GovCloudキーやRSA秘密鍵など機密情報をGitHubの公開リポジトリに意図的に投稿
- 米連邦議会議員がCISAに対し本件の説明を要求
CISAの契約社員による意図的な機密情報漏洩は、政府機関のサプライチェーンリスク管理と内部脅威対策の脆弱性を浮き彫りにした。特に、GitHubの秘密情報保護機能を無効化して平文認証情報を公開した点、漏洩から1週間以上経過しても認証情報の無効化が完了していない点は、サイバーセキュリティ対策の実効性に重大な疑問を投げかける。本件は、政府セキュリティ市場における内部脅威検知・防止ソリューション、認証情報管理(シークレット管理)、サプライチェーンセキュリティ関連スタートアップへの需要拡大を示唆しており、投資家はこれらの分野のソリューション提供企業に注目すべきである。