DigiCert מודה: תקלת אבטחה בת 16 חודשים חשפה מידע של לקוחות

DigiCert הודתה שהעברת שרתים כושלת השאירה מערכת פנימית חשופה לאינטרנט במשך יותר מ-16 חודשים, ואפשרה למשתמש לא מורשה לגשת לנתוני לקוחות, כולל דרכונים, רישיונות נהיגה ומסמכי זהות אחרים. רשות האישורים החלה להודיע ללקוחות שנפגעו אך טרם חשפה את מספר האנשים שהמידע שלהם נחשף. בדוא״ל שנצפה על ידי The Register, DigiCert אישרה שהמידע שנחשף כלל שמות, כתובות דוא״ל עסקיות, מספרי טלפון וכתובות עסקיות, ואמרה שייתכן שחלק מהרשומות הכילו גם דרכונים, רישיונות נהיגה, חשבונות שירות או מסמכי זיהוי אחרים.

כיצד התרחשה החשיפה

דוח התקרית של DigiCert מתחקה אחר הטעות עד פברואר 2025, כאשר מערכת עסקית פנימית הועברה מרשת מוגנת בוי־פי־אן לאזור זמינות אחר. השינוי הזה גם חשף את המערכת לאינטרנט הציבורי, ושם היא שהתה יותר מ־16 חודשים מבלי ש DigiCert שמה לב לכך. הארכיון השתמש באותה פלטפורמת ניהול חשבונות שבה משתמשים מוצרי DigiCert המיועדים ללקוחות, כולל תכונת הרשמה עצמית שמעולם לא הייתה אמורה להיות זמינה במערכת הפנימית. זה אפשר לגורמים חיצוניים ליצור חשבונות בלי אימות רב־גורמי, ובזכות פגם נפרד בהרשאות, להשתמש בהם כדי לעיין ברשומות לקוחות בארכיון.

ציר הזמן של הגילוי

DigiCert איתרה את החשבונות הלא מורשים ב-18 ביוני 2026, אך בתחילה פטרה אותם כבלתי מזיקים מכיוון שלא היו משויכים ליישום. חוקר אבטחה התריע בנוגע לבעיית יצירת החשבונות שלושה ימים לאחר מכן, אך לקח עד 2 ביולי עד ש-DigiCert סגרה אותה. רק ב-12 באוקטובר החלה DigiCert לחקור האם אכן התקבלה גישה למידע של לקוחות. ב-19 באוקטובר היא אישרה שחשבון לא מורשה קיבל גישה לתת-קבוצה של רשומות בארכיון בין 27 ביוני ל-2 ביולי.

היקף ותגובה

DigiCert תיארה את הרשומות שנפגעו כ"חלק קטן" מהארכיון שלה, אך לא חשפה כמה לקוחות או אנשים נכללו בהפרה. החברה לא השיבה לשאלות של The Register בזמן הפרסום. בניתוח לאחר האירוע של DigiCert נאמר שהעברת השרת לא קיבלה סקירת אבטחה נאותה, שהניטור לא הצליח לזהות פעילות חשודה, ושבקרות הגישה לא היו שימושיות במיוחד מול חשבונות שנרשמו בעצמם. מאז החברה כיבתה רישום עצמי, הדקה את הגישה לרשת והוסיפה ניטור. פעילות רשות האישורים, CertCentral ו-DigiCert ONE לא הושפעו, כך מסרה החברה, והוסיפה שפרטי הגישה של הלקוחות והאישורים שהונפקו נותרו מאובטחים. היא גם לא מצאה ראיות לכך שהחשבון הלא מורשה שימש להנפיק, לבטל או לאמת אישורים.

מקורות: The Register