CISA の契約業者である Nightwing の従業員が 2025年11月13日に作成したリポジトリで認証情報を公開

GitHub のシークレット検知機能を管理者が手動で無効化していたことを GitGuardian が特定

流出した情報には AWS GovCloud の管理者権限キー 3 種や、内部開発環境「LZ-DSO」への平文パスワードが含まれる

GitHub アカウント削除後も AWS のキーが 48 時間有効な状態であったことを外部研究者が確認

GitHub のシークレット検知を「開発の邪魔」として無効化する運用は、単なるヒューマンエラーではなく組織的なガバナンスの欠如を示唆する。

開発環境（DevSecOps）の認証情報が流出すると、ソフトウェアのビルドパイプラインにバックドアを仕込まれるリスクがあり、サプライチェーン攻撃の標的として極めて危険。