CISA e il manuale su come farsi hackerare (versione GitHub)
C’è una differenza sottile, ma fondamentale, tra il fare un esperimento rischioso nel proprio laboratorio e lasciare le chiavi della cassaforte dell’agenzia di cybersecurity nazionale appese al pomello della porta di casa. La seconda opzione, evidentemente, è la preferita da alcuni geni della CISA. Secondo quanto riportato da Ars Technica, è emerso che chiavi SSH, password in chiaro e altri dati sensibilissimi sono rimasti esposti in un repository pubblico su GitHub da novembre 2025. Sì, avete letto bene. Parliamo della Cybersecurity and Infrastructure Security Agency, gente che dovrebbe essere il nostro punto di riferimento per la difesa delle infrastrutture critiche, e che invece ha gestito il proprio codice con la stessa cura con cui io gestisco i cavi sotto la scrivania quando ho fretta di finire un progetto. Non è solo un errore tecnico, è un vero e proprio ‘stunning display of stupid’. Noi che passiamo le notti a configurare server, a scriptare automazioni per le nostre stampanti 3D o a testare vulnerabilità su vecchi sistemi arcade, sappiamo bene che il primo passo di ogni check di sicurezza è: ‘Non pushare mai le secret nel repo!’. È la regola numero uno, quella che impari anche quando scrivi il tuo primo script in Python per far lampeggiare un LED con un ESP32. Il fatto che queste credenziali siano state lì, beatamente esposte, per mesi è surreale. Mentre noi ci preoccupiamo di blindare i nostri piccoli ecosistemi domestici, le istituzioni che dovrebbero proteggerci sembrano gestire il proprio debito tecnico come se fosse una collezione di vecchi floppy disk scaduti. È il classico caso in cui l’hype per la sicurezza digitale non corrisponde minimamente alla realtà operativa. Cosa significa per noi? Per noi che amiamo smontare le cose, questo è un promemoria brutale. Se un’agenzia governativa può fallire così clamorosamente nel gestire i propri segreti, non abbiamo nessuna scusa per essere negligenti con i nostri progetti. La lezione è semplice: controllate i vostri .gitignore, usate i file .env e non fate affidamento sulla ‘sicurezza tramite oscurità’. Se una cosa è pubblica, è già compromessa. In un mondo di complessità crescente, dove l’IA e le infrastrutture critiche sono sempre più interconnesse, vedere tale negligenza fa venire i brividi. Speriamo solo che, dopo questo grande exploit di incompetenza, abbiano finalmente imparato a usare un vault decente invece di trattare GitHub come un diario segreto condiviso con l’intero pianeta. Source: In stunning display of stupid, secret CISA credentials found in public GitHub repo