דליפת נתוני לקוחות ב-DigiCert עקב שגיאת הגדרות

a long row of mail boxes sitting next to each other — Jinsoo Choi / Unsplash

מרכז האישור DigiCert הודיע ללקוחותיו על דליפת נתונים שנגרמה כתוצאה משגיאה במהלך הגירה של מערכת פנימית.

המערכת הועברה בפברואר 2025 מרשת שהייתה נגישה רק באמצעות VPN למקטע אחר, ובשל כך היא הפכה בטעות לנגישה מהאינטרנט. בעיה זו לא זומה במשך יותר מ-16 חודשים. מקור התקלה היה במערכת פנימית לאחסון נתוני ארכיון, שבה היה פעיל מנגנון רישום עצמי שאינו מיועד לארכיון. הדבר אפשר לכל אדם ליצור חשבון ללא אימות רב של גורמים, ובשל שגיאה בהגדרות ההרשאות, משתמשים אלו קיבלו גישה לארכיון נתוני הלקוחות.

מומחים ב-DigiCert זיהו חשבונות זרים לראשונה ב-18 ביוני 2026, אך בתחילה הניחו כי אין סכנה כיוון שהחשבונות לא היו מקושרים לאפליקציה כלשהי. שלושה ימים לאחר מכן, חוקר חיצוני התריע על האפשרות ליצור חשבונות כאלו, והגישה נחסמה ב-2 ביולי. לאחר מכן התגלה כי חשבון זר אחד שימש לצפייה בנתוני לקוחות בין ה-27 ביוני ל-2 ביולי.

החברה חשדה רק ב-12 באוקטובר כי גורם זר קיבל גישה לארכיון, וב-19 באוקטובר אישרה את הדליפה. הנתונים שנחשפו כוללים שמות, כתובות דואר אלקטרוני של העבודה, מספרי טלפונים וכתובות של חברות. במקרים מסוימים נמצאו בארכיון גם רישיונות נהיגה, דרכונים, חשבונות שירות ותעודות אחרות הכוללות שמות וכתובות.

ב-DigiCert ציינו כי הדליפה השפיעה רק על חלק קטן מהארכיון, אך לא פרסמו את מספר החברות והאנשים שנפגעו. החברה הדגישה כי לחשבונות הזרים היו הרשאות קריאה בלבד, והם לא יכלו לשנות רשומות, לאשר תוצאות בדיקות או להנפיק תעודות. התשתית של מרכז האישור, CertCentral ו-DigiCert ONE, כמו גם פרטי גישה של לקוחות ותעודות שהונפקו, לא נפגעו.

בעקבות חקירה, החברה ביטלה את אפשרות הרישום העצמי, איפסה סיסמאות של משתמשי המערכת הפנימית, הקשיחה את הגישה הרשתית והוסיפה ניטור והתראות.