Безопасность · 8 ноября 2026 г.
Также опубликовано на Indonesia, Deutsch, Español, Italiano, Polski, עברית, Français, Svenska, Türkçe, हिन्दी
DigiCert сообщает о нарушении безопасности из-за ошибки при миграции серверов
Компания DigiCert предупредила о нарушении безопасности, которое произошло после того, как при миграции серверов внутренняя бизнес-система была ошибочно открыта для доступа из интернета. Это позволило получить несанкционированный доступ к информации о клиентах и документам, удостоверяющим личность.
По словам компании, инцидент затронул небольшую часть архивных данных клиентов. В раскрытую информацию вошли имена, рабочие адреса электронной почты, номера телефонов и рабочие адреса. Для некоторых лиц в записях также содержались личные документы, удостоверяющие личность, такие как водительские права, паспорта и счета за коммунальные услуги.
DigiCert начала отправлять уведомления о нарушении безопасности затронутым клиентам. В уведомлении компания заявила, что продолжает проверять документы, удостоверяющие личность, чтобы определить, кто именно пострадал, и сообщит об этом по завершении проверки. В тексте уведомления указано, что информация была ограничена именами, рабочими адресами электронной почты, номерами телефонов и рабочими адресами, переданными DigiCert, и, если они были предоставлены, могла включать документ, удостоверяющий личность, такой как водительские права, паспорт, счет за коммунальные услуги или другой документ с именем и адресом.
Отчет об инциденте на платформе Bugzilla компании Mozilla объясняет, что миграция серверов в феврале 2025 года ошибочно открыла внутреннюю бизнес-систему, которая ранее была доступна только через виртуальную частную сеть. В открытой системе присутствовала функция саморегистрации, предназначенная для других приложений, которая позволяла внешним пользователям создавать учетные записи. Хотя эти учетные записи не были назначены какому-либо конкретному приложению, недостаток в системе авторизации позволял им получать доступ к архивной информации о клиентах в режиме только для чтения.
DigiCert впервые обнаружила несанкционированные учетные записи на открытой системе в июне 2026 года, но первоначально решила, что они не могут получить доступ к информации о клиентах, поскольку не были назначены приложению. Позднее компания получила отчет через свою управляемую программу исследования безопасности, предупреждающий о том, что внешние пользователи могут создавать учетные записи на системе. DigiCert внедрила исправления безопасности для ограничения доступа к системе и устранения недостатка в авторизации, но в тот момент не осознала, что к архивным данным был получен доступ.
Лишь 19 октября дальнейшее расследование подтвердило, что несанкционированная учетная запись получила доступ к информации о клиентах в период с 27 июня по 2 июля 2026 года. DigiCert признала, что инцидент первоначально рассматривался как проблема создания учетных записей, а не как событие доступа к данным. Компания заявила, что несанкционированная учетная запись имела доступ только для чтения и не могла изменять записи, утверждать проверки сертификатов или выпускать сертификаты.
В настоящее время компания ограничила доступ к затронутой системе, отключила саморегистрацию и добавила дополнительные средства контроля доступа. DigiCert утверждает, что ее сервисы центра сертификации, платформы CertCentral и DigiCert ONE не были скомпрометированы, а учетные данные для входа клиентов и выпущенные сертификаты остаются в безопасности.