DigiCert-ը ընդունել է 16 ամսվա անվտանգության բացը, որը բացահայտել է հաճախորդների տվյալները

DigiCert-ը ընդունել է, որ սխալ սերվերի տեղափոխումը ներքին համակարգը 16 ամսից ավելի բաց է մնացել ինտերնետին, ինչը թույլ է տվել չթույլատրված օգտատիրոջը մուտք գործել հաճախորդների տվյալներ, այդ թվում՝ անձնագրեր, վարորդական իրավունքի վկայականներ և այլ նույնականացման փաստաթղթեր։ Հավաստագրման մարմինը սկսել է տեղեկացնել տուժած հաճախորդներին, բայց դեռ չի բացահայտել, թե քանի մարդու տվյալներ են բացահայտվել։ The Register-ի տեսած էլփոստում DigiCert-ը հաստատել է, որ վտանգված տվյալները ներառում էին անուններ, գործարար էլփոստի հասցեներ, հեռախոսահամարներ և գործարար հասցեներ, և ասել է, որ որոշ գրառումներ կարող էին պարունակել անձնագրեր, վարորդական իրավունքի վկայականներ, կոմունալ վճարների հաշիվներ կամ այլ նույնականացման փաստաթղթեր։

Ինչպես տեղի ունեցավ արտահոսքը

DigiCert-ի միջադեպի զեկույցը սխալը հետագծում է դեպի 2025 թվականի փետրվար, երբ ներքին գործարար համակարգը տեղափոխվել է VPN-ով պաշտպանված ցանցից մեկ այլ հասանելիության գոտի։ Այդ փոփոխությունը նաև համակարգը բացել է հանրային ինտերնետին, որտեղ այն մնացել է 16 ամսից ավելի՝ առանց DigiCert-ի գիտակցման։ Արխիվը օգտագործել է նույն հաշվի կառավարման հարթակը, ինչ DigiCert-ի հաճախորդներին ուղղված արտադրանքները, այդ թվում՝ ինքնագրանցման գործառույթ, որը երբեք չպետք է հասանելի լիներ ներքին համակարգում։ Սա թույլ է տվել դրսի մարդկանց ստեղծել հաշիվներ առանց բազմագործոն նույնականացման և, շնորհիվ առանձին թույլտվությունների սխալի, դրանք օգտագործել արխիվացված հաճախորդների գրառումները դիտելու համար։

Հայտնաբերման ժամանակագիծը

DigiCert-ը չարտոնված հաշիվները հայտնաբերել է 2026 թվականի հունիսի 18-ին, սակայն սկզբում դրանք անվնաս է համարել, քանի որ դրանք ոչ մի հավելվածի չէին կապված։ Անվտանգության հետազոտողը հաշիվների ստեղծման խնդրի մասին ահազանգել է երեք օր անց, սակայն DigiCert-ը այն անջատել է միայն հուլիսի 2-ին։ Միայն հոկտեմբերի 12-ին է DigiCert-ը սկսել պարզել, թե արդյոք իրականում մուտք է եղել հաճախորդների տվյալներին։ Հոկտեմբերի 19-ին այն հաստատել է, որ չարտոնված հաշիվը հունիսի 27-ից հուլիսի 2-ը ընկած ժամանակահատվածում մուտք է ունեցել արխիվային գրառումների մի մասին։

Շրջանակ և արձագանք

DigiCert-ը տուժած գրառումները նկարագրել է որպես իր արխիվի «փոքր մաս», բայց չի բացահայտել, թե քանի հաճախորդ կամ անհատ է ներգրավվել խախտման մեջ։ Ընկերությունը հրապարակման պահին չի պատասխանել The Register-ի հարցերին։ DigiCert-ի միջադեպից հետո կատարած վերլուծությունը ասում է, որ սերվերի տեղափոխումը չի ստացել պատշաճ անվտանգության վերանայում, մոնիտորինգը չի հայտնաբերել կասկածելի գործունեությունը, իսկ մուտքի վերահսկողությունները քիչ օգտակար էին ինքնագրանցված հաշիվների դեմ։ Ընկերությունը դրանից հետո անջատել է ինքնագրանցումը, խստացրել է ցանցային մուտքը և ավելացրել է մոնիտորինգը։ Վկայագրի կենտրոնի գործառնությունները, CertCentral-ը և DigiCert ONE-ը չեն տուժել, հայտնել է ընկերությունը՝ ավելացնելով, որ հաճախորդների հավատարմագրերը և տրված վկայագրերը մնում են անվտանգ։ Այն նաև ոչ մի ապացույց չի գտել, որ չարտոնված հաշիվը օգտագործվել է վկայագրեր տրամադրելու, չեղարկելու կամ վավերացնելու համար։

Աղբյուրներ՝ The Register