DigiCert bevestigt lek in klantgegevens na fout bij migratie van intern systeem

A laptop with a vibrant colorful screen glowing on a dark wooden desk — Joshua Woroniecki / Unsplash

Certificaatautoriteit DigiCert heeft klanten geïnformeerd over een gegevenslek dat is ontstaan door een configuratiefout tijdens de verplaatsing van een intern archiefsysteem. Het incident betrof een systeem dat oorspronkelijk alleen toegankelijk was via een virtueel privénetwerk, maar na migratie per ongeluk blootgesteld werd aan het openbare internet. Deze kwetsbaarheid bleef meer dan zestien maanden onopgemerkt voordat de omvang van het probleem volledig duidelijk werd.

De oorzaak lag in een interne oplossing voor data-archivering die dezelfde accountbeheermechanismen gebruikte als de klantgerichte diensten van het bedrijf. Door een fout in de rechteninstellingen bleef de functie voor zelfregistratie, die bedoeld was voor andere toepassingen, actief in dit archiefsysteem. Hierdoor kon elke persoon een account aanmaken zonder meervoudige authenticatie en kreeg deze onbedoeld toegang tot gevoelige klantgegevens. Het is belangrijk op te merken dat deze accounts uitsluitend leesrechten hadden en geen gegevens konden wijzigen of certificaten konden uitgeven.

Medewerkers van de organisatie ontdekten op achttien juni tweeduizendzesentwintig voor het eerst vreemde accounts in het systeem. Aanvankelijk werd aangenomen dat er geen dreiging was omdat deze accounts niet gekoppeld leken aan specifieke applicaties. Later bleek echter dat een fout in het autorisatiesysteem deze beperking ongeldig maakte. Drie dagen na de eerste ontdekking stelde een externe onderzoeker het bedrijf officieel op de hoogte van de mogelijkheid om dergelijke accounts te creëren, waarna de toegang op twee juli werd geblokkeerd.

Onderzoek wees later uit dat een van de ongeautoriseerde accounts reeds gebruikt was om klantdata te bekijken in de periode van zevenentwintig juni tot twee juli. Pas op twaalf oktober ontstond het vermoeden dat derden daadwerkelijk toegang hadden gekregen tot het archief, en op negentien oktober bevestigde het bedrijf het gegevenslek definitief. De gecompromitteerde records bevatten namen, zakelijke e-mailadressen, telefoonnummers en bedrijfsadressen. In sommige gevallen waren ook rijbewijzen, paspoorten, nutsrekeningen en andere documenten met persoonsgegevens in het archief terug te vinden.

Vertegenwoordigers van DigiCert benadrukken dat slechts een klein deel van het archief is getroffen, maar ze geven geen exacte aantallen van getroffen bedrijven of individuen vrij. De infrastructuur van de certificaatautoriteit, inclusief de platformen CertCentral en DigiCert ONE, bleef onaangetast evenals de inloggegevens van klanten en reeds uitgegeven certificaten. Na het onderzoek heeft de organisatie de zelfregistratiefunctie uitgeschakeld, alle wachtwoorden van het interne systeem gereset, de netwerktoegang verstrengd en extra bewaking en waarschuwingssystemen geïmplementeerd om herhaling te voorkomen.