DigiCert veri ihlali: Müşteri bilgileri ve kimlik belgeleri ifşa oldu

silhouette photo of person holding smartphone — Gilles Lambert / Unsplash

DigiCert, bir sunucu taşınması sırasında iç iş sistemi yanlışlıkla internete açıldığı için veri ihlali yaşadığını ve bu durumun yetkisiz erişime yol açtığını bildirdi. Bu olay, müşteri bilgilerine ve kimlik belgelerine erişimi mümkün kıldı.

Sertifika otoritesi, ihlalin arşivlenmiş müşteri verilerinin küçük bir bölümünü etkilediğini açıkladı. Etkilenen bilgiler arasında isimler, iş e-posta adresleri, telefon numaraları ve iş adresleri yer alıyor. Bazı kişiler için ifşa edilen kayıtlar, sürücü ehliyeti, pasaport ve fatura gibi kişisel kimlik belgelerini de içeriyordu.

Olayın teknik detayları, Mozilla'nın Bugzilla platformundaki bir olay raporunda açıklandı. Şubat 2025'te yapılan sunucu taşınması, daha önce yalnızca sanal özel ağ üzerinden erişilebilen bir iç iş sistemini internete açtı. Bu sistem, diğer uygulamalar için tasarlanmış bir öz kayıt özelliği barındırıyordu ve dış kullanıcıların hesap oluşturmasına izin veriyordu. Bu hesaplara belirli bir uygulama atanmamıştı ancak bir yetkilendirme kusuru, arşivlenmiş müşteri bilgilerine salt okunur modda erişim sağlamalarına olanak tanıyordu.

DigiCert, ifşa edilen sistemdeki yetkisiz hesapları Haziran 2026'da keşfetti. Şirket, bu hesapların bir uygulamaya atanmadığı için müşteri bilgilerine erişemeyeceğini belirledi. Daha sonra, yönetilen güvenlik araştırma programı üzerinden gelen bir rapor, dış kullanıcıların sistemde hesap oluşturabildiği konusunda uyarıda bulundu. DigiCert, erişimi kısıtlamak ve yetkilendirme kusurunu gidermek için güvenlik düzeltmeleri uyguladı ancak o sırada arşivlenmiş verilere erişildiğinin farkında değildi.

19 Ekim'de yapılan ek bir inceleme, 27 Haziran ile 2 Temmuz 2026 tarihleri arasında bir yetkisiz hesabın müşteri bilgilerine eriştiğini doğruladı. DigiCert, olayın başlangıçta bir veri erişim olayı olarak değil, bir hesap oluşturma sorunu olarak ele alındığını kabul etti. Yetkisiz hesabın salt okunur erişimi vardı ve kayıtları değiştiremez, sertifika doğrulamalarını onaylayamaz veya sertifika çıkaramazdı.

Şirket, etkilenen sisteme erişimi kısıtladı, öz kaydımı devre dışı bıraktı ve ek erişim kontrolleri ekledi. DigiCert, sertifika otoritesi hizmetlerinin, CertCentral ve DigiCert ONE platformlarının etkilenmediğini, müşteri giriş kimlik bilgileri ve çıkarılan sertifikaların güvenli kaldığını belirtti. Etkilenen müşterilere veri ihlali bildirimleri gönderilmeye başlandı ve kimlik belgeleri incelenerek etkilenenler belirlenmeye çalışılıyor.