CISA, la unidad del Departamento de Seguridad Nacional encargada de defender las redes federales y salvaguardar la infraestructura crítica, admitió el viernes en un informe posterior al incidente que su personal "tuvo que dedicar tiempo a construir [un protocolo] durante las primeras etapas del incidente". La agencia señaló que es fundamental preparar protocolos para "todas las necesidades anticipadas" a fin de garantizar que las organizaciones estén listas para responder ante un incidente de seguridad en lugar de improvisar sobre la marcha.

El incidente comenzó cuando el periodista de ciberseguridad independiente Brian Krebs reportó en mayo que un investigador de seguridad de la firma de ciberseguridad GitGuardian le alertó sobre grandes cantidades de contraseñas expuestas almacenadas en un repositorio de GitHub públicamente accesible, que un empleado de un contratista de CISA había subido. Según Krebs, el investigador intentó alertar al contratista pero no recibió respuesta. Solo después de que Krebs contactó a CISA, la agencia retiró el repositorio de internet y revocó y reemplazó todas las credenciales expuestas para prevenir cualquier posible abuso futuro.

CISA no especificó cuánto tiempo el protocolo faltante retrasó su respuesta, y un portavoz de la agencia no respondió inmediatamente a la solicitud de comentarios de TechCrunch. La agencia confirmó que ningún dato de clientes o datos de misión fueron expuestos en el incidente y agradeció al investigador y al reportero por su ayuda.

La agencia reconoció que sus canales para permitir que investigadores de seguridad notifiquen a CISA sobre posibles incidentes "no estaban bien definidos" e indicó que ha realizado cambios para facilitar y acelerar que los investigadores contacten a la agencia. Este reconocimiento subraya deficiencias sistémicas en la preparación de la agencia para responder a crisis de ciberseguridad.

El contexto institucional agrava la situación. CISA ha estado sin director permanente desde el inicio del segundo mandato del presidente Donald Trump en enero de 2025. La agencia también ha sido afectada por recortes, licencias forzadas y despidos que han impactado aproximadamente a un tercio de su fuerza laboral desde que Trump asumió el cargo. Estas reducciones de personal coinciden con el momento en que la agencia enfrenta desafíos crecientes en la defensa de infraestructuras críticas nacionales.

El incidente pone de relieve vulnerabilidades en la cadena de suministro de ciberseguridad federal. Cuando un contratista del gobierno expone credenciales de acceso a sistemas federales, el riesgo potencial se extiende más allá de la agencia afectada, comprometiendo potencialmente múltiples sistemas gubernamentales. La dependencia de terceros para servicios críticos de seguridad requiere protocolos robustos de respuesta que CISA claramente no tenía implementados.

Las implicaciones de este incidente se extienden a toda la infraestructura de ciberseguridad federal. Si CISA, la agencia principal responsable de defender redes federales, carece de protocolos preparados para responder a exposiciones de credenciales, esto sugiere que otras agencias gubernamentales también podrían enfrentar deficiencias similares. La necesidad de construir un plan de respuesta durante una crisis activa reduce la velocidad de contención y aumenta la ventana de exposición durante la cual actores maliciosos podrían explotar las credenciales comprometidas.