DigiCert atzīst datu noplūdi: pēc servera pārcelšanas piekļūts klientu ierakstiem un dokumentiem

Drošības sertifikātu izdevējs DigiCert atzinis datu noplūdi: nepiederoša persona no 27. jūnija līdz 2. jūlijam piekļuva daļai uzņēmuma arhīvā glabāto klientu datu. Uzņēmums sācis informēt skartos klientus, bet notikuma gaitu aprakstījis incidenta ziņojumā Mozilla platformā Bugzilla.

Problēmas sākums meklējams 2025. gada februārī, kad iekšēja biznesa sistēma ar klientu iesniegto informāciju tika pārcelta no tīkla daļas, kurai varēja piekļūt tikai caur VPN, uz citu pieejamības zonu. Pēc šīs pārcelšanas sistēma, pretēji iecerētajam, kļuva sasniedzama no interneta. Tajā darbojās arī pašreģistrācijas funkcija, kas bija paredzēta citiem produktiem, tāpēc ārpusnieki varēja izveidot kontus bez daudzfaktoru autentifikācijas, un atļauju kļūdas dēļ ar tiem varēja lasīt arhīva ierakstus.

Piekļūtajos ierakstos bija vārdi, darba e-pasta adreses, tālruņu numuri un uzņēmumu adreses. Daļā gadījumu tur bija arī klientu iesniegti dokumenti, piemēram, pases, autovadītāja apliecības, komunālo pakalpojumu rēķini vai citi dokumenti ar personas vārdu un adresi. DigiCert norāda, ka skarta tikai neliela daļa arhīva, taču nav atklājis, cik cilvēku vai organizāciju tas attiecas. Uzņēmums vēl pārskata dokumentus, lai noteiktu konkrētās skartās personas.

Notikuma laika līnija rāda, ka problēmu ilgi nenovērtēja pareizi. 18. jūnijā darbinieki pamanīja kontus, kas nepiederēja DigiCert, taču sākotnēji tos uzskatīja par nekaitīgiem. Dažas dienas vēlāk drošības pētnieks ziņoja, ka sistēmā no ārpuses var izveidot kontus, un labojums tika ieviests 2. jūlijā. Tikai 12. oktobrī uzņēmums sāka pārbaudīt, vai dati patiešām skatīti, un 19. oktobrī to apstiprināja.

Savā ziņojumā DigiCert skaidro, ka sistēmas pārcelšana tika uzskatīta par infrastruktūras, nevis drošības izmaiņu, tāpēc tai netika veikta detalizēta drošības pārbaude. Sistēmā arī trūka brīdinājumu par jaunu kontu izveidi un neparastu pieprasījumu apjomu.

Uzņēmums uzsver, ka sertifikātu izdošanas sistēmas, kā arī pakalpojumi CertCentral un DigiCert ONE netika skarti. Nepiederošajam kontam bija tikai lasīšanas tiesības, ar to nevarēja izdot, atsaukt vai apstiprināt sertifikātus, un klientu pieteikšanās dati un izdotie sertifikāti ir drošībā.

Pēc incidenta DigiCert atslēdzis pašreģistrācijas funkciju un pastiprinājis sistēmas uzraudzību. Personas, kuru dokumenti bija skartajā arhīva daļā, uzņēmums plāno informēt, kad dokumentu pārskatīšana būs pabeigta.