פריצת נתונים ב-DigiCert חשפה מידע על לקוחות ומסמכי זיהוי

על פי דוח אירוע, מעבר שרתים שהתרחש בפברואר 2025 חשף בטעות מערכת עסקית פנימית לאינטרנט, לאחר שהייתה נגישה בעבר רק באמצעות רשת פרטית וירטואלית. המערכת החשופה כללה תכונת רישום עצמי שיועדה לאפליקציות אחרות, מה שאיפשר למשתמשים חיצוניים ליצור חשבונות. פגם בהרשאות אפשר לחשבונות אלו לגשת למידע לקוחות מאורכב במצב של קריאה בלבד.

DigiCert גילתה לראשונה חשבונות לא מורשים במערכת ביוני 2026, אך קבעה בתחילה שהם אינם יכולים לגשת למידע לקוחות. לאחר מכן קיבלה החברה דיווח דרך תוכנית מחקר אבטחה מנוהלת שהזהיר כי משתמשים חיצוניים יכולים ליצור חשבונות במערכת. למרות שיושמו תיקוני אבטחה להגבלת הגישה ולטיפול בפגם ההרשאות, החברה לא הבינה באותו זמן שנתונים מאורכבים נחשפו.

ב-19 באוקטובר אישרה חקירה נוספת שחשבון לא מורשה ניגש למידע לקוחות בין ה-27 ביוני ל-2 ביולי 2026. החברה הודתה כי האירוע טופל בתחילה כבעיית יצירת חשבונות ולא כאירוע גישה לנתונים. החברה ציינה כי לחשבון הלא מורשה הייתה גישה לקריאה בלבד, והוא לא יכול היה לשנות רשומות, לאשר אימותי תעודות או להנפיק תעודות.

DigiCert החלה לשלוח הודעות על פריצת הנתונים ללקוחות המושפעים, והיא עדיין בוחנת מסמכי זיהוי כדי לקבוע מי נפגע. החברה הגבילה את הגישה למערכת המושפעת, ביטלה את הרישום העצמי והוסיפה בקרות גישה נוספות. היא מסרה כי שירותי רשות האישור שלה, וכן פלטפורמות CertCentral ו-DigiCert ONE, לא נפגעו, וכי פרטי התחברות של לקוחות ותעודות שהונפקו נותרו מאובטחים.