DigiCert-მა აღიარა 16-თვიანი უსაფრთხოების ხარვეზი, რომლის გამოც მომხმარებელთა ინფორმაცია გამჟღავნდა

DigiCert-მა აღიარა, რომ სერვერის წარუმატებელი მიგრაციის გამო შიდა სისტემა ინტერნეტისთვის 16 თვეზე მეტხანს ღია დარჩა და უნებართვო პირმა მიიღო წვდომა მომხმარებელთა მონაცემებზე, მათ შორის პასპორტებზე, მართვის მოწმობებსა და პირადობის სხვა დოკუმენტებზე. სერტიფიკატების გამცემმა ცენტრმა დაიწყო დაზარალებული მომხმარებლებისთვის შეტყობინებების გაგზავნა, მაგრამ ჯერ არ გაამჟღავნა, რამდენ ადამიანს გაუმჟღავნდა ინფორმაცია. ელფოსტაში, რომელიც The Register-მა ნახა, DigiCert-მა დაადასტურა, რომ გამჟღავნებული ინფორმაცია მოიცავდა სახელებს, სამუშაო ელფოსტის მისამართებს, ტელეფონის ნომრებსა და სამუშაო მისამართებს, და აღნიშნა, რომ ზოგიერთ ჩანაწერში შესაძლოა პასპორტები, მართვის მოწმობები, კომუნალური გადასახადების ქვითრები ან პირადობის სხვა დოკუმენტებიც ყოფილიყო.

როგორ მოხდა ინფორმაციის გამჟღავნება

DigiCert-ის ინციდენტის ანგარიშის მიხედვით, შეცდომა 2025 წლის თებერვალში სათავეს იღებს, როდესაც შიდა ბიზნეს სისტემა VPN-ით დაცული ქსელიდან სხვა ხელმისაწვდომობის ზონაში გადაიტანეს. ამ ცვლილებამ სისტემა საჯარო ინტერნეტისთვის ღია გახადა და ის 16 თვეზე მეტხანს ღიად დარჩა, DigiCert-ისთვის შეუმჩნევლად. არქივი იყენებდა იმავე ანგარიშების მართვის პლატფორმას, რომელსაც DigiCert-ის მომხმარებელზე ორიენტირებული პროდუქტებიც იყენებდნენ და რომელსაც თვითრეგისტრაციის ფუნქციაც ჰქონდა, თუმცა ის შიდა სისტემაზე არასოდეს უნდა ყოფილიყო ხელმისაწვდომი. ამის გამო გარეშე პირებმა შეძლეს მრავალფაქტორიანი ავთენტიფიკაციის გარეშე ანგარიშების შექმნა და, ცალკე უფლებების ხარვეზის გამო, ამ ანგარიშებით არქივირებული მომხმარებელთა ჩანაწერების დათვალიერება.

აღმოჩენის ქრონოლოგია

DigiCert-მა უნებართვო ანგარიშები 2026 წლის 18 ივნისს აღმოაჩინა, მაგრამ თავიდან უვნებლად მიიჩნია, რადგან ისინი არცერთ აპლიკაციაზე არ იყვნენ მიბმული. უსაფრთხოების მკვლევარმა ანგარიშების შექმნის პრობლემაზე სამი დღის შემდეგ განგაში ატეხა, მაგრამ DigiCert-მა ამის შეჩერება მხოლოდ 2 ივლისს მოახერხა. DigiCert-მა მხოლოდ 12 ოქტომბერს დაიწყო იმის გარკვევა, ჰქონდა თუ არა ვინმეს რეალურად წვდომა მომხმარებელთა ინფორმაციაზე. 19 ოქტომბერს მან დაადასტურა, რომ უნებართვო ანგარიშს 27 ივნისიდან 2 ივლისამდე წვდომა ჰქონდა არქივირებული ჩანაწერების ნაწილზე.

მასშტაბი და რეაგირება

DigiCert-მა დაზარალებული ჩანაწერები თავისი არქივის „მცირე ნაწილად“ აღწერა, მაგრამ არ გაამჟღავნა, რამდენი მომხმარებელი ან ფიზიკური პირი დაზარალდა ამ ინციდენტის გამო. კომპანიამ გამოქვეყნების დროს The Register-ის კითხვებს არ უპასუხა. DigiCert-ის ინციდენტის შემდგომი ანალიზის მიხედვით, სერვერის გადატანისას სათანადო უსაფრთხოების შემოწმება არ ჩატარებულა, მონიტორინგმა საეჭვო აქტივობა ვერ შენიშნა, ხოლო წვდომის კონტროლი თვითრეგისტრირებულ ანგარიშებს ვერ უმკლავდებოდა. ამის შემდეგ კომპანიამ თვითრეგისტრაცია გამორთო, ქსელური წვდომა გაამკაცრა და მონიტორინგი დაამატა. კომპანიის თქმით, სერტიფიკატების გამცემი ცენტრის ოპერაციები, CertCentral და DigiCert ONE არ დაზარალდა; მან ასევე აღნიშნა, რომ მომხმარებელთა ავთენტიფიკაციის მონაცემები და გაცემული სერტიფიკატები უსაფრთხოდ რჩება. კომპანიამ ასევე ვერ იპოვა მტკიცებულება, რომ უნებართვო ანგარიში სერტიფიკატების გაცემის, გაუქმების ან დადასტურებისთვის გამოყენებულიყო.

წყაროები: The Register