Em 18 de maio de 2026, a CISA confirmou que um contratado publicou chaves de acesso AWS GovCloud e outros segredos da agência em um repositório público chamado “Private-CISA” no GitHub. O repositório foi criado em novembro de 2025, com as informações mais sensíveis adicionadas no final de abril de 2026. Parlamentares democratas no Congresso americano já enviaram cartas formais exigindo respostas detalhadas sobre o incidente.
Como o vazamento aconteceu e por que o Congresso reagiu
O repositório público expôs credenciais privilegiadas de contas AWS GovCloud e sistemas internos da agência, conforme reportado pela KrebsOnSecurity. A CISA notificou que não há indícios de que dados sensíveis tenham sido comprometidos, mas ainda está invalidando credenciais vazadas mais de uma semana após o alerta da GitGuardian. Senadora Maggie Hassan enviou carta com uma dúzia de perguntas ao diretor interino Nick Andersen em 19 de maio, enquanto deputados Bennie Thompson e Delia Ramirez cobraram briefing sobre causas, consequências e ações corretivas.
Implicações futuras: quando o erro humano vira roteiro de ficção científica
Imagine um episódio de Black Mirror onde uma única conta no GitHub decide o destino de sistemas de infraestrutura crítica dos Estados Unidos. O caso da CISA mostra que, mesmo em 2026, o elo mais fraco continua sendo o fator humano, algo que já vimos em reportagens anteriores da agência sobre senhas em texto puro. No futuro, vazamentos como este podem acelerar a migração para autenticação sem senha e auditorias automatizadas de repositórios, transformando o que hoje é notícia em norma obrigatória para todas as agências federais.
O que muda para o ecossistema de nuvem nos próximos anos
Com a pressão do Congresso, a CISA já invalidou uma chave RSA privada após notificação em 20 de maio e continua o trabalho de rotação de credenciais. Esse episódio funciona como alerta para empresas que usam nuvem governamental: a visibilidade pública de segredos pode acontecer por descuido de um único contratado. No horizonte, especialistas preveem que ferramentas de detecção automática de credenciais em repositórios se tornarão padrão, evitando que incidentes isolados virem crises de confiança em escala nacional.