DigiCert, 16 aylık güvenlik açığının müşteri bilgilerini açığa çıkardığını kabul etti

DigiCert, hatalı bir sunucu taşımasının dahili bir sistemi 16 aydan uzun süre internete açık bıraktığını ve yetkisiz bir kullanıcının pasaportlar, ehliyetler ve diğer kimlik belgeleri dahil müşteri verilerine erişmesine izin verdiğini kabul etti. Sertifika otoritesi etkilenen müşterileri bilgilendirmeye başladı, ancak bilgileri açığa çıkan kişi sayısını henüz açıklamadı. The Register'ın gördüğü bir e-postada DigiCert, ele geçirilen bilgilerin adlar, iş e-posta adresleri, telefon numaraları ve iş adresleri içerdiğini doğruladı ve bazı kayıtların ayrıca pasaport, ehliyet, fatura veya diğer kimlik belgeleri içermiş olabileceğini söyledi.

Açığın nasıl oluştuğu

DigiCert'in olay raporu bu hatayı Şubat 2025'e kadar izliyor; o tarihte dahili bir iş sistemi VPN korumalı bir ağdan farklı bir kullanılabilirlik bölgesine taşındı. Bu değişiklik sistemi genel internete de açtı ve DigiCert fark etmeden 16 aydan uzun süre orada kaldı. Arşiv, DigiCert'in müşteriye dönük ürünlerle aynı hesap yönetim platformunu kullandı; bu platformda dahili sistemde hiçbir zaman bulunmaması gereken bir kendi kendine kayıt olma özelliği vardı. Bu, dışarıdakilerin çok faktörlü kimlik doğrulama olmadan hesap açmasını ve ayrı bir izin hatası sayesinde bu hesapları kullanarak arşivlenmiş müşteri kayıtlarını taramasını sağladı.

Keşfin zaman çizelgesi

DigiCert, yetkisiz hesapları 18 Haziran 2026'da buldu, ancak bunlar bir uygulamaya atanmadığı için başlangıçta zararsız olarak değerlendirdi. Bir güvenlik araştırmacısı üç gün sonra hesap oluşturma sorunu konusunda alarm verdi, ancak DigiCert'in bunu kapatması 2 Temmuz'u buldu. Müşteri bilgilerine gerçekten erişilip erişilmediğini araştırmaya başlaması ise 12 Ekim'e kadar sürdü. 19 Ekim'de yetkisiz bir hesabın 27 Haziran ile 2 Temmuz arasında arşivlenmiş kayıtların bir alt kümesine eriştiğini doğruladı.

Kapsam ve yanıt

DigiCert, etkilenen kayıtları arşivinin 'küçük bir bölümü' olarak nitelendirdi, ancak ihlale kaç müşteri veya kişinin karıştığını açıklamadı. Şirket, yayın sırasında The Register'ın sorularına yanıt vermedi. DigiCert'in olay sonrası incelemesi, sunucu taşımasının uygun bir güvenlik incelemesinden geçmediğini, izlemenin şüpheli etkinliği tespit edemediğini ve erişim kontrollerinin kendi kendine kayıt açılmış hesaplara karşı pek işe yaramadığını söylüyor. Şirket o zamandan beri kendi kendine kaydı kapattı, ağ erişimini sıkılaştırdı ve izleme ekledi. Sertifika otoritesi işlemleri, CertCentral ve DigiCert ONE etkilenmedi; şirket müşteri kimlik bilgilerinin ve verilmiş sertifikaların güvende kaldığını da ekledi. Yetkisiz hesabın sertifika vermek, iptal etmek veya doğrulamak için kullanıldığına dair hiçbir kanıt bulamadı.

Kaynaklar: The Register