DigiCert تعترف بخلل أمني استمر 16 شهراً وعرّض معلومات العملاء

أقرّت DigiCert بأن نقل خادم فاشلاً ترك نظاماً داخلياً معرّضاً للإنترنت لأكثر من 16 شهراً، مما سمح لمستخدم غير مخوّل بالوصول إلى بيانات العملاء، بما في ذلك جوازات السفر ورخص القيادة ومستندات هوية أخرى. بدأت هيئة إصدار الشهادات إخطار العملاء المتأثرين، لكنها لم تكشف بعد عن عدد الأشخاص الذين تعرّضت معلوماتهم. في رسالة إلكترونية اطّلع عليها The Register، أكدت DigiCert أن المعلومات المخترقة شملت الأسماء وعناوين البريد الإلكتروني للأعمال وأرقام الهواتف وعناوين الأعمال، وقالت إن بعض السجلات قد تكون احتوت أيضاً على جوازات سفر أو رخص قيادة أو فواتير مرافق أو مستندات تعريف أخرى.

كيف حدث التعرّض

تتبّع تقرير الحادث من DigiCert الخلل إلى فبراير 2025، عندما نُقل نظام أعمال داخلي من شبكة محمية عبر VPN إلى منطقة توفر مختلفة. وأدى هذا التغيير أيضاً إلى فتح النظام للإنترنت العام، حيث بقي لأكثر من 16 شهراً دون أن تدرك DigiCert ذلك. استخدم الأرشيف منصة إدارة الحسابات نفسها المستخدمة في منتجات DigiCert الموجّهة للعملاء، بما في ذلك ميزة التسجيل الذاتي التي لم يكن من المفترض أن تكون متاحة في النظام الداخلي. وهذا سمح للأطراف الخارجية بإنشاء حسابات دون مصادقة متعددة العوامل، وبفضل خلل منفصل في الصلاحيات، استخدامها لتصفح سجلات العملاء المؤرشفة.

جدول الاكتشاف

اكتشفت DigiCert الحسابات غير المخوّلة في 18 يونيو 2026، لكنها اعتبرتها في البداية غير ضارة لأنها لم تُعيَّن لتطبيق. وأثار باحث أمني إنذاراً بشأن مشكلة إنشاء الحسابات بعد ثلاثة أيام، لكن DigiCert لم تغلقها حتى 2 يوليو. ولم يبدأ DigiCert التحقيق في ما إذا كان قد تم الوصول إلى معلومات العملاء فعلاً حتى 12 أكتوبر. في 19 أكتوبر، أكدت أن حساباً غير مخوّل قد وصل إلى جزء من السجلات المؤرشفة بين 27 يونيو و2 يوليو.

النطاق والاستجابة

وصف DigiCert السجلات المتأثرة بأنها "نسبة صغيرة" من أرشيفها، لكنه لم يكشف عن عدد العملاء أو الأفراد الذين شملهم الاختراق. ولم ترد الشركة على أسئلة The Register وقت النشر. يقول تحليل ما بعد الحادث من DigiCert إن نقل الخادم لم يخضع لمراجعة أمنية مناسبة، ولم تلتقط المراقبة النشاط المشبوه، ولم تكن ضوابط الوصول ذات فائدة كبيرة ضد الحسابات ذاتية التسجيل. وأوقفت الشركة منذ ذلك الحين التسجيل الذاتي، وشدّدت الوصول إلى الشبكة، وأضافت مراقبة. ولم تتأثر عمليات هيئة إصدار الشهادات، وCertCentral، وDigiCert ONE، كما قالت الشركة، مضيفة أن بيانات اعتماد العملاء والشهادات المُصدرة تبقى آمنة. كما لم تجد أي دليل على أن الحساب غير المخوّل استُخدم لإصدار أو إلغاء أو التحقق من الشهادات.

المصادر: The Register