DigiCertで顧客データ漏洩発生

turned on gray laptop computer — Luca Bravo / Unsplash

認証局DigiCertが顧客にデータ漏洩を通知しました。原因は内部システムの移行中のエラーで、2025年2月にVPN経由のネットワークから別のセグメントに移された際に、誤ってインターネットからアクセス可能になりました。この問題は16ヶ月以上も気づかれませんでした。

問題の根源は、アーカイブデータを保存する内部システムにありました。このシステムはDigiCertの顧客サービスと同じアカウント管理メカニズムを使用しており、誤って他のアプリケーション用に設計された自己登録機能が残っていました。そのため、誰でも多要素認証なしでアカウントを作成でき、設定ミスにより顧客データのアーカイブにアクセスできました。

DigiCertの専門家は、2026年6月18日に外部アカウントを初めて発見しましたが、当初は脅威はないと判断しました。しかし、その後、認証システムのエラーにより、制限が機能していなかったことが明らかになりました。

研究者が外部アカウントの作成可能性を知らせた後、7月2日にアクセスがブロックされましたが、すでに1つの外部アカウントが顧客データを閲覧していました。

DigiCertでは、漏洩した記録に氏名、業務用メールアドレス、電話番号、会社の住所が含まれていることを警告しています。漏洩は「小さな部分」に限られていると述べていますが、被害に遭った企業や個人の正確な数は明らかにしていません。