CISA-자격증명-유출

한 줄 요약: CISA 사고 대응에서 더 불편한 지점은 GitHub에 노출된 자격 증명을 외부 연구자와 기자가 먼저 발견했는데도, 신고 경로와 의사결정 체계가 뚜렷하지 않았다는 점이다. 무슨 일이 있었나 2026년 7월 10일, TechCrunch는 미국 사이버보안·인프라보안국(CISA)의 사후 보고서를 인용해 CISA가 5월 보안 사고 당시 준비된 사고 대응 플레이북 없이 초동 대응을 시작했다고 보도했다. 사건은 공개 GitHub 저장소에서 시작됐다. CISA 계약업체 직원이 미국 정부 시스템 접근에 쓰일 수 있는 민감한 키와 자격 증명을 공개 저장소에 올렸고, GitGuardian 소속 보안 연구자가 이를 발견했다. 연구자는 먼저 해당 계약업체에 알리려 했지만 응답을 받지 못했다. 이후 보안 기자 Brian Krebs에게 제보했고, Krebs가 CISA에 연락한 뒤 저장소가 내려가고 노출된 자격 증명이 폐기·교체됐다는 흐름이다. ...