CISA (Cybersecurity and Infrastructure Security Agency) menerbitkan postmortem mengenai kebocoran data di mana seorang kontraktor CISA secara sengaja mempublikasikan puluhan kredensial internal — termasuk kunci AWS GovCloud — di repository GitHub publik selama hampir enam bulan sebelum diberitahu oleh KrebsOnSecurity. Kejadian ini memberikan pelajaran kritis bagi seluruh organisasi tentang pentingnya manajemen kunci yang matang, channel pelaporan keamanan yang efektif, dan pengawasan terhadap kontraktor.
APA YANG TERJADI?
Pada 15 Mei 2026, perusahaan keamanan GitGuardian meminta bantuan KrebsOnSecurity untuk memberitahu CISA tentang keberadaan repository GitHub publik bernama “Private CISA” yang berisi 844 MB data sensitif terkait CISA. File yang terekspos termasuk “importantAWStokens” yang berisi kredensial administratif ke tiga server Amazon AWS GovCloud, serta “AWS-Workspace-Firefox-Passwords.csv” yang mencantumkan username dan password plaintext untuk puluhan sistem internal CISA. Yang paling kritis, file tersebut juga berisi RSA private key untuk GitHub application yang dimiliki oleh akun enterprise CISA dan diinstal pada organisasi CISA-IT GitHub dengan akses penuh ke seluruh repository — termasuk repository privat.
DETAIL TEKNIS
Analisis terhadap repository “Private-CISA” menunjukkan bahwa repository ini pertama kali dibuat pada November 2025, dan commit logs menunjukkan bahwa kontraktor CISA secara aktif menonaktifkan fitur proteksi bawaan GitHub terhadap publikasi kredensial sensitif di repository publik. Kontraktor tersebut menggunakan repository ini sebagai “scratchpad” atau mekanisme sinkronisasi, bukan sebagai project repository terstruktur. Selain kunci AWS GovCloud dan RSA private key, repository ini juga berisi kredensial untuk berbagai sistem internal CISA yang mencakup akses ke infrastructure, code repositories, dan berbagai layanan cloud. Dengan RSA private key yang terekspos, penyerang teoretis dapat membaca source code dari seluruh repository di organisasi CISA-IT, mendaftarkan rogue self-hosted runners untuk menghijack CI/CD pipelines, dan mengakses repository secrets serta mengubah branch protection rules.
DAMPAK TERHADAP INDONESIA
Kebocoran ini memiliki dampak signifikan bagi Indonesia karena beberapa alasan. Pertama, ini menunjukkan bahwa bahkan lembaga keamanan siber terkemuka dunia pun rentan terhadap kesalahan manusia dan proses — mengingatkan organisasi Indonesia bahwa investasi dalam keamanan siber harus dimulai dari tata kelola internal. Kedua, akses ke AWS GovCloud yang terekspos dapat dimanfaatkan untuk serangan supply chain yang berdampak pada organisasi Indonesia yang menggunakan layanan AWS. Ketiga, ini menjadi preseden penting bagi BSSN dan regulator Indonesia dalam mengembangkan standar manajemen kunci dan secret management untuk organisasi pemerintah. Keempat, kasus ini menunjukkan pentingnya security awareness bagi kontraktor dan vendor yang memiliki akses ke sistem kritis.
REKOMENDASI MITIGASI
Implementasikan secret scanning di seluruh repository menggunakan tool seperti GitGuardian, TruffleHog, atau GitHub Advanced Security. Nonaktifkan kemampuan untuk menonaktifkan proteksi secret scanning di GitHub organization settings. Terapkan rotasi kunci secara otomatis untuk semua kredensial cloud dan API. Kembangkan dan publikasikan security.txt dengan channel pelaporan yang jelas untuk insiden yang melibatkan infrastruktur internal organisasi. Berikan pelatihan keamanan siber wajib kepada seluruh kontraktor dan vendor yang memiliki akses ke sistem kritis. Implementasikan automated secret detection dalam CI/CD pipeline untuk mencegah publikasi kredensial secara tidak sengaja.
“Biarkan sembilan email notifikasi tanpa respons adalah bagaimana insiden satu hari menjadi paparan enam bulan. Buat pelaporan tentang kebocoran data tentang Anda menjadi mudah, bukan hanya tentang produk Anda,” ungkap Guillaume Valadon dari GitGuardian. Pelajaran terbesar dari kasus CISA adalah bahwa security culture harus dimulai dari dalam organisasi, termasuk dalam cara mereka menerima dan merespons laporan dari peneliti keamanan eksternal.
Sumber: Krebs on Security
