Wyciek danych klientów w DigiCert

silver macbook on white table — Maxim Hopman / Unsplash

Ośrodek certyfikacji DigiCert powiadomił swoich klientów o wystąpieniu wycieku danych.

Przyczyną incydentu był błąd podczas migracji systemu wewnętrznego w lutym 2025 roku. System ten został przeniesiony z sieci dostępnej wyłącznie przez VPN do innego segmentu, co sprawiło, że przypadkowo stał się on dostępny z internetu. Problem ten pozostawał niezauważony przez ponad 16 miesięcy.

Źródłem problemu był wewnętrzny system przechowywania danych archiwalnych, który korzystał z tego samego mechanizmu zarządzania kontami co usługi klienckie DigiCert. W systemie wewnętrznym zachowała się funkcja samodzielnej rejestracji, która nie była przeznaczona do pracy z archiwum danych klientów. Pozwalało to dowolnej osobie na utworzenie konta bez uwierzytelniania wieloskładnikowego, a błąd w ustawieniach uprawnień dawał dostęp do archiwum. Konta te miały uprawnienia wyłącznie do przeglądania danych, bez możliwości ich zmiany.

Specjaliści DigiCert wykryli pierwsze obce konta 18 czerwca 2026 roku, lecz początkowo uznali, że nie stanowią one zagrożenia. Trzy dni później zewnętrzny badacz poinformował firmę o możliwości tworzenia takich kont, a 2 lipca dostęp został zablokowany. Ustalono, że jedno z kont było wykorzystywane do przeglądania danych od 27 czerwca do 2 lipca.

Firma podejrzewała dostęp osób trzecich do archiwum dopiero 12 października, a fakt wycieku potwierdzono 19 października. Skompromitowane rekordy zawierały imiona, służbowe adresy email, numery telefonów oraz adresy firm. W niektórych przypadkach w archiwum znajdowały się paszporty, prawa jazdy, rachunki za media oraz inne dokumenty z imionami i adresami.

DigiCert podkreśla, że wyciek objął tylko niewielką część archiwum, jednak nie podano dokładnej liczby poszkodowanych osób i firm. Incydent nie wpłynął na infrastrukturę ośrodka certyfikacji, systemy CertCentral oraz DigiCert ONE, a także na dane uwierzytelniające klientów i wydane certyfikaty. Obce konta nie mogły zatwierdzać wyników weryfikacji ani wydawać certyfikatów.

Po przeprowadzeniu dochodzenia DigiCert wyłączyło samodzielną rejestrację, zresetowało hasła użytkowników systemu wewnętrznego, zaostrzyło dostęp sieciowy oraz wprowadziło dodatkowy monitoring i powiadomienia.