La Agencia de Seguridad de Infraestructuras y Ciberseguridad de Estados Unidos (CISA) ha publicado un informe postmortem sobre una filtración de datos ocurrida cuando un contratista publicó decenas de documentos internos en un repositorio público de GitHub. Las credenciales expuestas incluían claves de acceso a AWS Govcloud, el entorno cloud del gobierno estadounidense, según fuentes informadas del incidente.
Seis meses de exposición inadvertida
La filtración permaneció activa durante casi seis meses antes de que la agencia recibiera una notificación externa. El repositorio contenía decenas de documentos internos con credenciales de sistemas críticos, lo que supone un riesgo grave para la seguridad de infraestructuras estratégicas. CISA, dependiente del Departamento de Seguridad Nacional, es la principal agencia federal encargada de coordinar la protección de las redes y sistemas informáticos gubernamentales y de sectores críticos como la energía, el agua o las finanzas.
El informe, publicado el 13 de julio de 2026, no especifica el número exacto de documentos filtrados, aunque se refiere a docenas de archivos. Tampoco se ha identificado públicamente al contratista responsable ni se han detallado las sanciones aplicadas.
Lecciones aplicables a toda organización
El incidente subraya los riesgos inherentes a la gestión de credenciales y al uso de repositorios públicos de código, una práctica habitual en entornos de desarrollo. Entre las brechas detectadas, el informe señala la falta de controles automatizados que detectasen la publicación de información sensible en plataformas externas.
Expertos en ciberseguridad consultados consideran que los fallos identificados ofrecen lecciones transferibles a cualquier organización que gestione infraestructuras críticas. La filtración demuestra que incluso agencias con presupuestos de ciberseguridad elevados pueden sufrir incidentes por errores humanos básicos si no se implementan barreras técnicas de detección temprana.
España, a través del Centro Criptológico Nacional (CCN) y el Instituto Nacional de Ciberseguridad (INCIBE), también gestiona infraestructuras críticas y podría verse afectada por patrones similares. La lección principal, según los analistas, es que ningún sistema está libre de riesgos si no se auditan periódicamente los repositorios públicos vinculados a sus contratistas.
