La CISA, l’agenzia federale statunitense per la cybersicurezza, ha ammesso di non disporre di un piano di risposta già pronto quando, a maggio, è stata informata dell’esposizione pubblica di chiavi e credenziali sensibili utilizzate per accedere a sistemi governativi. I dati erano stati caricati online da un dipendente di un contractor dell’agenzia, trasformando un errore operativo in un test diretto per la capacità di reazione dell’organizzazione incaricata di difendere le reti federali.
Nel rapporto pubblicato dopo l’incidente, la CISA ha spiegato che il personale ha dovuto dedicare tempo alla costruzione di un playbook di risposta già durante le prime fasi dell’emergenza. L’agenzia ha riconosciuto la necessità di predisporre procedure per tutte le esigenze prevedibili, così da evitare che ruoli, azioni e canali di coordinamento debbano essere definiti mentre un potenziale incidente di sicurezza è ancora in corso.
L’allarme era partito da un ricercatore della società di cybersicurezza GitGuardian, che aveva individuato una grande quantità di password esposte in un repository GitHub accessibile pubblicamente. Il repository era stato caricato da un dipendente di un fornitore della CISA. Il ricercatore aveva tentato inizialmente di avvisare il contractor, senza però ricevere risposta, lasciando aperto un passaggio critico nella catena di segnalazione.
La situazione è arrivata all’agenzia attraverso il giornalista indipendente di cybersicurezza Brian Krebs. Soltanto dopo il suo contatto, la CISA ha rimosso il repository e ha provveduto a revocare e sostituire tutte le credenziali esposte, con l’obiettivo di impedire eventuali abusi successivi. La sequenza mostra come la risposta tecnica sia dipesa anche dall’intervento di soggetti esterni, anziché da un percorso di escalation già riconoscibile e immediatamente operativo.
La CISA ha dichiarato che nell’incidente non sono stati esposti dati dei clienti o delle missioni e ha ringraziato sia il ricercatore sia il giornalista per il contributo. Non è stato però indicato quanto tempo sia stato perso a causa dell’assenza del playbook. Rimane quindi senza risposta la misura concreta del ritardo accumulato prima della rimozione del repository e della rotazione delle credenziali.
Il rapporto individua un’altra debolezza organizzativa: i canali di segnalazione destinati ai ricercatori di sicurezza non erano definiti con sufficiente chiarezza. L’agenzia sostiene di aver introdotto modifiche per rendere il contatto più semplice e rapido. Per imprese e amministrazioni, il caso mette in primo piano una componente spesso decisiva dell’incident response: non soltanto gli strumenti per contenere un’esposizione, ma anche la possibilità per chi la scopre di raggiungere subito il referente corretto.
L’episodio si inserisce inoltre in una fase complessa per l’organizzazione. La CISA è priva di un direttore permanente dall’inizio del secondo mandato del presidente Donald Trump, cominciato nel gennaio 2025. Tagli, congedi e licenziamenti hanno interessato circa un terzo della forza lavoro dell’agenzia, ridimensionando la struttura mentre resta attiva la sua responsabilità di proteggere le reti federali e contribuire alla sicurezza delle infrastrutture critiche.
Il postmortem restituisce così una lezione operativa netta: revocare password e chiavi è soltanto una parte della risposta. Servono procedure preparate, responsabilità definite e collegamenti funzionanti con la comunità dei ricercatori. Quando un contractor espone credenziali sensibili, la rapidità dipende anche da ciò che è stato deciso prima dell’incidente; costruire il piano durante l’emergenza aggiunge invece complessità proprio nel momento in cui il tempo diventa la risorsa più preziosa.