DigiCert визнала 16-місячну помилку безпеки, яка розкрила дані клієнтів

DigiCert визнала, що невдала міграція сервера залишила внутрішню систему відкритою в інтернеті понад 16 місяців, що дозволило несанкціонованому користувачу отримати доступ до даних клієнтів, зокрема паспортів, посвідчень водія та інших документів, що посвідчують особу. Центр сертифікації почав повідомляти постраждалих клієнтів, але ще не розкрив, скільки людей мали витік їхніх даних. У листі, який бачив The Register, DigiCert підтвердила, що скомпрометована інформація включала імена, робочі електронні адреси, номери телефонів і службові адреси, а також повідомила, що деякі записи могли містити паспорти, посвідчення водія, комунальні рахунки чи інші документи, що посвідчують особу.

Як стався витік

Звіт DigiCert про інцидент простежує помилку до лютого 2025 року, коли внутрішню бізнес-систему перенесли з мережі, захищеної VPN, до іншої зони доступності. Ця зміна також відкрила систему для публічного інтернету, де вона понад 16 місяців перебувала без усвідомлення DigiCert. Архів використовував ту саму платформу керування обліковими записами, що й продукти DigiCert для клієнтів, зокрема функцію самостійної реєстрації, яка ніколи не мала бути доступною у внутрішній системі. Це дозволило стороннім особам створювати облікові записи без багатофакторної автентифікації та, завдяки окремій помилці прав доступу, використовувати їх для перегляду архівних записів клієнтів.

Хронологія виявлення

DigiCert виявив несанкціоновані облікові записи 18 червня 2026 року, але спочатку вважав їх безпечними, оскільки вони не були прив'язані до застосунку. Дослідник безпеки через три дні повідомив про проблему створення облікових записів, але DigiCert закрила її лише 2 липня. Лише 12 жовтня DigiCert почала перевіряти, чи було фактично отримано доступ до інформації клієнтів. 19 жовтня вона підтвердила, що несанкціонований обліковий запис отримав доступ до частини архівних записів у період з 27 червня по 2 липня.

Масштаб і реакція

DigiCert описала постраждалі записи як «невелику частку» свого архіву, але не розкрила, скільки клієнтів або осіб постраждали від витоку. На момент публікації компанія не відповіла на запитання The Register. У післяаварійному аналізі DigiCert зазначила, що перенесення сервера не пройшло належної перевірки безпеки, моніторинг не виявив підозрілої активності, а засоби контролю доступу виявилися мало корисними проти самостійно створених облікових записів. Відтоді компанія вимкнула самостійну реєстрацію, посилила мережевий доступ і додала моніторинг. Операції центру сертифікації, CertCentral і DigiCert ONE не постраждали, повідомила компанія, додавши, що облікові дані клієнтів і видані сертифікати залишаються захищеними. Вона також не знайшла доказів того, що несанкціонований обліковий запис використовували для видачі, відкликання чи перевірки сертифікатів.

Джерела: The Register