DigiCert повідомила про витік: експоновано архівні дані та документи
DigiCert заявила про витік даних після помилки під час міграції серверів, що відкрила доступ до внутрішньої системи. Компанія розсилає сповіщення постраждалим клієнтам.
DigiCert повідомила про інцидент із безпекою: через помилку під час міграції серверів було відкрито до інтернету внутрішню бізнес-систему, що дозволило неавторизований доступ до архівної клієнтської інформації та окремих документів, що посвідчують особу.
Що сталося
За даними компанії, під час міграції у лютому 2025 року внутрішню систему, яка раніше була доступна лише через VPN, помилково виставили в мережу. У червні 2026 року DigiCert виявила несанкціоновані облікові записи, але спершу вирішила, що вони не мають доступу до даних.
Подальша перевірка, завершена 19 жовтня, підтвердила: один із таких облікових записів зчитував клієнтські дані в період з 27 червня по 2 липня 2026 року. Інцидент спочатку розглядали як проблему створення акаунтів, а не доступу до даних, визнає DigiCert.
Які дані опинилися під загрозою
Компанія зазначає, що постраждала «невелика частина» архівних записів клієнтів. Залучена інформація включає імена, робочі email-адреси, телефони та ділові адреси. Для частини людей у записах також були завантажені документи, що посвідчують особу, — водійські посвідчення, паспорти, рахунки за комунальні послуги та інші документи з іменем і адресою.
DigiCert почала надсилати сповіщення про інцидент і повідомила, що ще переглядає ідентифікаційні документи, аби ідентифікувати всіх постраждалих та окремо їх поінформувати. Копію листа оприлюднив у X хмарний архітектор Фабіан Бадер.
Як це стало можливим
За описом інциденту на платформі Mozilla Bugzilla, відкриту систему оснащено функцією самореєстрації для інших застосунків, що дозволило стороннім користувачам створювати акаунти. Хоча ці акаунти не були прив’язані до жодного застосунку, уразливість в авторизації відкривала їм перегляд архівної клієнтської інформації у режимі «лише читання».
Реакція компанії
DigiCert обмежила доступ до системи, вимкнула самореєстрацію та додала додаткові контролі, раніше також виправивши помилки авторизації. За словами компанії, несанкціонований акаунт мав лише права читання й не міг змінювати записи, схвалювати валідації чи випускати сертифікати.
Що не постраждало
DigiCert заявляє, що сервіси центру сертифікації, платформи CertCentral і DigiCert ONE не були скомпрометовані, а облікові дані клієнтів і видані сертифікати залишаються в безпеці. Видання BleepingComputer звернулося до компанії по додаткові деталі, зокрема про кількість постраждалих.
