2026/05/23 1:54
# CISA と立法府の攻防：データ漏洩対応と情報の開示要求 ## 状況概観 米国サイバー安全局（CISA）と立法府の間で緊張が高まっている。CISA はデータ漏洩への**緊急性な対処**を試みている一方、立法府側は**詳細な情報開示を求めている**。 ## 主な動きと対立点 ### CISA の対応 * **即時対策の実施**: データ漏洩事件に対する技術的・運用的な**緊急措置**を講じている。 * **脆弱性の遮断**: 攻撃経路を塞ぎ、被害拡大の**防止策**を急ピッチで進めている。 * **情報共有**: 関係機関へ脅威情報を**提供し続ける**方針をとっている。 ### 立法府側の要求 * **透明性の確保**: 漏洩の実態や影響範囲について**詳細な説明**を求め続けている。 * **回答の義務化**: CISA の対応策に関する**具体的な報告**を出させるよう圧力をかけている。 * **調査強化**: 政府機関内のセキュリティ体制を再確認するための**根拠資料**の開示を要求している。 ## 今後の課題 * **調整の難しさ**: 機密保持と情報開示の間で**バランスを取りにくい**状況が続いている。 * **時間の猶予**: 迅速な復旧と十分な説明の両立が**極めて難しい**可能性がある。 * **信頼関係**: 双方の**意思疎通**が円滑に進むかが鍵となる。
RSS: https://news.ycombinator.com/rss
要約▶
改善された要約:
両院の議員たちは、KrebsOnSecurity が契約者による行政アクセス権を有する者が故意に「Private-CISA」というパブリック GitHub プロフィールを作成し、AWS GovCloud の鍵および他社の機密情報を公開したと報じた後に、CISA に対し説明を求めるよう求めています。5 月 18 日付けでは、同プロフィールは作業タスクの用紙（scratchpad）として記述されており、GitHub の機密データ公開に対する保護機能が無効化されたため、内部システム数十件の明文化された認証情報を含むことが確認されています。GitGuardian が CISA に通知から 1 週間以上経過後でも、同庁は 5 月 20 日時点で公開された鍵の無効化を進めており、TruffleHog の作成者である Dylan Ayrey は、5 月 20 日の通知後に公開された 1 つの RSA 秘密鍵は無効化された一方で、重要なセキュリティ技術に関連する他の漏洩した認証情報は未だrotate（更新・破棄）されていないことを確認しました。これらの無効化されなかった鍵を保有する攻撃者は、CISA-IT のすべてのリポジトリからソースコードを読み取ることも、CI/CD パイプラインを乗っ取ることも、さらにはブランチ保護ルールや Webhook を改変することも可能となります。
この事件は、CISA における重大な混乱と連動しており、早期の退職、買収、トランプ政権下で強制された離職により、その workforce の超過 3 分の 1 とほぼすべての上級リーダーを失いました。議員たちは、この人事の崩壊により、中国、ロシア、イランなどの敵対者に対する契約サポートの管理がますます困難になっていると述べています。Maggie Hassan 上院議員は、サイバー侵害を防任すべき機関でこのような過失が発生した理由について深刻な疑問を提起し、Bennie Thompson 下院議員および Delia Ramirez 下院議員もまた、この事件が弱体化したセキュリティ文化の反映であると懸念を表明しました。
CISA は機密データが侵害された跡は確認されていないと発表したものの、重要な認証情報のいくつかは依然として脆弱です。5 月 21 日の更新で、Truffle Security は最も機密性の高い秘密情報の暴露期間を 2025 年 11 月から 2026 年 4 月下旬に修正し、単一の漏洩が発生したのみであり、以前はそのタイミングが誤報されていたことを明確にしました。専門家は、トップダウンのポリシーは有効である一方で、個人アカウントを業務目的で利用することは人間の課題であり、技術的な制御だけで容易には解決できないため、攻撃者が残存する脆弱性を悪用した場合、システムは依然として危険にさらされる可能性があると指摘しています。
本文
CISA 漏洩事件：請負業者による認証キー公開と議会への懸念
事件の概要
- 発端：KrebsOnSecurity が報じたところ、CISA（米国サイバーセキュリティおよびインフラセキュリティ局）の請負業者が、公衆向けの GitHub アカウントに意図的に AWS GovCloud の認証キーと大量の内部秘密情報を公開した。
- 現状：CISA は依然として、漏洩事件の収束および流出した認証情報の無効化において苦戦している。
- 請負業者の行動確認：
- 5 月 18 日の報道で判明：請負業者は CISA のコード開発プラットフォームに管理者権限を持ち、**「Private-CISA」**という公衆向け GitHub プロフィールを作成した。
- その中に、内部システム数十個のプレーンテキスト認証情報が掲載されていた。
- 調査により、請負業者が GitHub の機密公開保護機能を意図的に無効化していたことが確認された。
CISA の対応と疑問点
- 公式見解：CISA は漏洩を認めたが、データ暴露の期間については回答に逃れ続けている。
- 専門家の分析では、「Private-CISA」アーカイブは 2025 年 11 月に初めて変更され、個人がリポジトリをメモ帳や同期手段として利用する様子が窺える（本意ではない）。
- CISA の声明：「今回の事件の結果として機密データが侵害したという根拠は示されていない」と表明。
- 根本的な疑問：手紙により、CISA 自体のセキュリティ対策に重大な欠陥が存在する可能性が指摘されている（5 月 19 日付、暫定長官宛て）。
議会からの厳しい批判と背景
マギー・ハッサン上院議員（民主党・ニューハンプシャー州）の見解
- この報道は、重要なインフラのセキュリティ脅威が懸念される時期に、CISA の内部ポリシーおよび手続きに関する深刻な懸念を提起している。
ベニー・トンプソン連邦議員（民主党・ミシシッピ州）とデルリア・ラミレス連邦議員（民主党・イリノイ州）の見解
- セキュリティ文化の低下：事件は CISA のセキュリティ意識不足および契約支援の管理不備を反映している。
- 国家安全保障リスク：中国、ロシア、イランなどの敵対国が連邦ネットワークへのアクセスを狙っている中、「Private-CISA」に含まれるファイルはまさに攻撃に資する情報・ロードマップであったと指摘。
人事背景による脆弱性
- トランプ政権下での早期退職や強制離職により、CISA は以下を失った：
- 労働力の約三分之一以上
- ほぼ全てのシニアリーダー
- この大規模な人材流出が内部混乱の要因となっている。
技術的脅威の詳細（TruffleHog と Daniel Aley の調査）
未対応の重大リスク
- RSA プライベートキーの無効化不備：
- ダニエル・アレイ氏（TruffleHog 開発者）によると、暴露された RSA キーは無効化されておらず、CISA エンタープライズアカウントから GitHub アプリに完全なアクセス権限を与えられている状態である。
- 攻撃者が得られる能力：
- CISA-IT 組織内のすべてのリポジトリ（プライベート含む）からのソースコード読み取り。
- CI/CD パイプラインの劫奪（偽のホスト済みランナー登録）。
- リポジトリ内での機密情報へのアクセス。
- ブランチ保護ルール、ウェブフック、デプロイキーを含む管理設定の変更。
- CI/CD：連続的統合・デリバリー。ソフトウェアのビルド・テスト・デプロイを自動化する仕組み。
現在の進展と限界
- KrebsOnSecurity は、GitGuardian の通報から一週間以上経過し、依然としてキーや秘密情報の無効化作業が続いていることを確認。
- CISA は RSA キーの無効化は進めているが、同局技術ポートフォリオ全体に展開されている他の重要なセキュリティ技術に関連する認証情報のローテーションは実施していない（※詳細は未公開）。
- CISA の公式回答：「現在積極的に対応しており、連携しながら漏洩認証情報をローテーション・無効化し、システム安全性を確保している」。
脅威の現実性
- 攻撃者の監視状況：
- GitHub など公開プラットフォームはライブフィードを提供するため、変更内容が即座に可視化される。
- サイバー犯罪者はこれらのフィードを監視し、API キーや SSH キーの意図的な公開に対して素早く攻撃を開始する傾向がある。
- データ火管（Data Firehose）：
- 暴露されたデータは現在も監視対象であり、攻撃者も同様のデータを監視していると推測される。
専門家の分析：技術制御の限界
セキュリティポッドキャスト「Risky Business」出演者の見解によると、以下の課題が存在する：
- トップダウンポリシーの必要性：
- GitHub の公開保護機能を無効化しないよう、組織レベルで強制すべきだが、現場がこれを防ぐのが困難。
- 「人間の要因」が最大の問題：
- 従業員が独自アカウントを作成し、機密情報を個人で管理・同期しようとする行為を技術だけで完全に阻止することは不可能。
- 請負業者や外部者が「自らの意志で業務用マシンのコンテンツを自宅マシンに同期」する行為などは、CISA が直接管理している領域から外れており、どの技術制御を導入すればよいか不明確。
- 結論：これは技術制御では解決できない人間の問題である。