Private-CISA: Kho lưu trữ tối mật mở cửa công khai suốt nửa năm của CISA

[WhiteHat Team]

Hãy tưởng tượng bạn là người đứng đầu một cơ quan an ninh mạng quốc gia, ngày ngày đi cảnh báo thế giới về ransomware, APT và các chiến dịch gián điệp mạng tinh vi. Thế rồi một buổi sáng đẹp trời, bạn phát hiện toàn bộ “chìa khóa tổng” của hệ thống lại bị chính nhà thầu của mình đem lên GitHub public chỉ để tiện đồng bộ dữ liệu giữa máy công ty và máy ở nhà.

Đó gần như chính xác là những gì vừa xảy ra với Cybersecurity and Infrastructure Security Agency (CISA), cơ quan chịu trách nhiệm bảo vệ hạ tầng an ninh mạng trọng yếu của Mỹ.
​

Mọi chuyện bắt đầu từ một repository trên GitHub có cái tên đầy tự tin: “Private-CISA”. Nhưng trớ trêu thay, thứ duy nhất mang tính “private” ở đây có lẽ chỉ là niềm tin ngây thơ của chủ nhân repo. Suốt từ tháng 11/2025 đến tận giữa tháng 5/2026, kho lưu trữ tối mật này cứ thế nằm lộ thiên giữa thanh thiên bạch nhật, sẵn sàng chào đón bất kỳ ai vô tình ghé thăm.

Theo dấu vết để lại, repository này được duy trì bởi một kỹ sư thuộc nhà thầu Nightwing. Động cơ của anh ta nghe cũng rất "đời" và quen thuộc với dân IT khi muốn dùng GitHub làm công cụ sync dữ liệu giữa laptop làm việc ở cơ quan và máy tính cá nhân tại nhà cho tiện thao tác. Khốn nỗi, thay vì đồng bộ vài file Word hay script linh tinh, người này lại quyết định bê luôn cả credential nội bộ của cơ quan an ninh mạng quốc gia lên internet.

Để quá trình đem việc về nhà làm được “mượt mà” và không bị gián đoạn, vị kỹ sư này còn tự tay cấu hình tắt luôn tính năng secret scanning của GitHub. Đây vốn là hệ thống chốt chặn cuối cùng, được thiết kế để tự động còi báo động khi người dùng lỡ tay đăng SSH key, token hay mật khẩu nhạy cảm lên repo công khai. Nói cách khác, để tránh bị làm phiền, anh ta đã chủ động tháo luôn chuông báo động và mở toang cửa két sắt.
​

Kho lưu trữ GitHub riêng tư của CISA bị lộ
Nguồn: Krebs On Security
​

Kho báu lộ thiên này chỉ bị phát hiện khi hệ thống quét tự động của GitGuardian – một công ty công nghệ chuyên săn lùng các dữ liệu mật bị rò rỉ trên các kho mã nguồn, liên tục rú còi vì phát hiện hàng loạt secret nhạy cảm của chính phủ Mỹ xuất hiện trên GitHub. Nhận thấy tính chất nghiêm trọng của sự việc, Guillaume Valadon, một nhà nghiên cứu bảo mật kỳ cựu tại GitGuardian, đã lập tức vào cuộc. Ông liên tục gửi alert cảnh báo đến chủ tài khoản nhưng đáp lại chỉ là sự im lặng đáng sợ. Đến khi sốt ruột trực tiếp kiểm tra commit logs, Valadon mới thực sự chết lặng trước một khung cảnh vô cùng hỗn độn.

Bên trong repository là một “combo tận thế” đúng nghĩa đối với dân an ninh mạng, từ khóa quản trị cao cấp của ba máy chủ AWS GovCloud, credential truy cập thẳng vào môi trường DevSecOps LZ-DSO, cho đến một file mang tên AWS-Workspace-Firefox-Passwords.csv, tất cả được đặt chung trong một không gian công khai mà không có bất kỳ lớp bảo vệ thực sự nào.

Điều khiến giới bảo mật vừa sốc vừa buồn cười là file CSV này chứa toàn bộ plaintext mật khẩu của hàng tá hệ thống nội bộ và chúng được đặt theo phong cách: [Tên nền tảng] + [2026]. Một tư duy bảo mật thô sơ đến mức khiến các cuộc tấn công brute-force cũng phải cảm thấy mình đang bắt nạt đối phương.
​

Ảnh chụp màn hình đã được chỉnh sửa của kho lưu trữ “Private CISA” hiện đã ngừng hoạt động
Nguồn: Krebs on Security​

Nhưng phần khiến các chuyên gia đánh giá là mối đe dọa dài hạn và nguy hiểm nhất không nằm ở file mật khẩu ngô nghê kia, mà nằm ở thông tin đăng nhập của kho Artifactory – nơi quản lý các gói tài nguyên phục vụ cho chuỗi quy trình xây dựng và triển khai phần mềm của CISA. Nếu kiểm soát được kho dữ liệu này, kẻ tấn công hoàn toàn có thể âm thầm cài cắm mã độc gián điệp vào chuỗi cung ứng phần mềm nhằm thiết lập quyền truy cập bền vững lâu dài.

Nói một cách dễ hiểu, thay vì tốn sức tấn công từng máy chủ, kẻ tấn công chỉ cần "đầu độc" ngay từ dây chuyền sản xuất. Từ đó trở đi, cứ mỗi lần CISA thực hiện build và deploy một hệ thống mới để đi bảo mật cho các cơ quan khác, họ sẽ vô tình tự biến mình thành "F0", biến các bản cập nhật phần mềm thành những “xe giao hàng” phát tán backdoor của kẻ tấn công đi khắp mạng lưới chính phủ.

Khi chuyên trang KrebsOnSecurity phối hợp cùng Seralys gửi cảnh báo khẩn đến Cybersecurity and Infrastructure Security Agency, repository “Private-CISA” cuối cùng cũng bị gỡ khỏi GitHub. Đến đây, nhiều người nghĩ câu chuyện đã khép lại: repo biến mất, credential bị thu hồi, đội ứng cứu nội bộ bắt đầu một đêm “không ngủ” đúng nghĩa.

Nhưng rồi plot twist xuất hiện. Các AWS key bị lộ vẫn tiếp tục hoạt động thêm gần 48 giờ sau khi repository biến mất khỏi internet.

48 giờ không còn là “chậm vài nhịp”. Đó là thời gian đủ để một nhóm tấn công chuyên nghiệp xác thực credential, mở rộng quyền truy cập, thiết lập persistence và âm thầm cắm chân vào hạ tầng mục tiêu. Đặc biệt khi những credential đó lại mở cửa vào AWS GovCloud, môi trường dành cho các hệ thống nhạy cảm cấp chính phủ Mỹ. Từ thời điểm đó, câu chuyện không còn dừng ở một sai sót vận hành hay một màn “DevOps tấu hài” nữa. Nó trở thành một tình huống khó xử đối với chính một cơ quan vốn luôn đứng ở vị trí cảnh báo người khác về cách quản lý credential và an toàn hệ thống.

Sau khi sự cố được phát hiện, CISA cho biết chưa ghi nhận dấu hiệu dữ liệu bị khai thác và đang triển khai thêm các biện pháp bảo vệ. Dù vậy, cái giá phải trả cho uy tín của cơ quan này là quá đắt, nhất là khi họ đang phải gồng mình gánh khoản cắt giảm ngân sách hơn 420 triệu USD cùng làn sóng tháo chạy của 1/3 nhân sự.

Dù vậy, cách sự cố diễn ra và đặc biệt là những gì được phơi bày sau đó vẫn để lại một nốt lặng lớn cho cộng đồng an ninh mạng. Nó cho thấy những sai sót rất “đời thường” và sự chủ quan của con người có thể vô hiệu hóa những hạ tầng được bảo vệ chặt chẽ nhất dễ dàng như thế nào. Và rồi câu hỏi còn lại không nằm ở mức độ thiệt hại đã xảy ra, mà là có bao nhiêu lỗ hổng tương tự vẫn đang âm thầm tồn tại trong các hệ thống khác, chực chờ ngày bị phơi bày.​