DigiCert powiadamia klientów po wycieku dokumentów tożsamości z archiwum

DigiCert zaczyna powiadamiać klientów

Zawiadomienie mówi, że ujawnione informacje ograniczały się do imion i nazwisk, służbowych adresów e-mail, numerów telefonów i adresów firmowych. Jeśli klient wcześniej przedstawił dowód tożsamości, w rekordach mogło być też prawo jazdy, paszport, rachunek za media albo inny dokument z imieniem, nazwiskiem i adresem. Architekt chmury Fabian Bader opublikował kopię pisma na X.

Sprawa dotyczy więc wąskiej grupy: osób, które kupiły certyfikat i przesłały dokumenty tożsamości do weryfikacji prowadzonej przez DigiCert. Firma twierdzi, że wciąż przegląda te dokumenty, żeby ustalić, kogo dotyczą, i powiadomi te osoby po zakończeniu przeglądu. Nie ujawniła, ile osób, organizacji ani dokumentów obejmuje zdarzenie, a dotyczącą go część archiwum opisuje tylko jako niewielką.

Wpis Badera był dosadny. „Dzięki @digicert, że twój wyciek danych był »ograniczony« tylko do moich pełnych danych osobowych i potencjalnie wszystkich dokumentów weryfikacyjnych, które przesłałem dla mojego certyfikatu”, napisał.

DigiCert potwierdził nieuprawniony dostęp 19 października 2026 r. i następnego dnia złożył wstępny raport o incydencie. Firma podaje, że konto miało dostęp tylko do odczytu i nie mogło zmieniać rekordów, zatwierdzać walidacji certyfikatów ani wydawać certyfikatów.

Jak migracja serwera otworzyła archiwum

Źródłem problemu jest przeniesienie serwera 4 lutego 2025 r. Migracja infrastruktury przeniosła wewnętrzny system biznesowy z segmentu sieci dostępnego wyłącznie przez VPN do strefy dostępności, do której docierał internet.

System miał funkcję samodzielnej rejestracji zbudowaną dla innych aplikacji, więc osoby z zewnątrz mogły zakładać konta. Takie konta nie miały przypisanej aplikacji i nie obejmowało ich uwierzytelnianie wieloskładnikowe, którego DigiCert wymagał od pracowników. Mimo to błąd w autoryzacji pozwalał im czytać zarchiwizowane informacje.

Pracownicy zauważyli konta spoza DigiCert 18 czerwca 2026 r., ale wstępna analiza błędnie uznała, że konta bez przypisanej aplikacji nie mają dostępu do danych. 21 czerwca dotarł raport z prowadzonego przez firmę programu badań bezpieczeństwa. Inżynierowie wdrożyli poprawkę autoryzacji 2 lipca, a śledczy później umieścili nieuprawniony dostęp w oknie od 27 czerwca do 2 lipca. DigiCert po raz pierwszy podejrzewał odczyt zarchiwizowanych danych 12 października, a 19 października potwierdził incydent podlegający zgłoszeniu. Raport firmy przyznaje to wprost: „Incydent był początkowo traktowany jako problem z zakładaniem kont, a nie jako zdarzenie z dostępem do danych”.

System był osiągalny z internetu od lutego 2025 r. do lipcowych poprawek, ale DigiCert lokuje potwierdzony dostęp do danych wyłącznie w oknie od 27 czerwca do 2 lipca. Rescana zwraca uwagę na to samo rozróżnienie: firma nie twierdzi, że dane klientów były czytane od lutego 2025 r.

Co wyciekło, a co nie

Raport DigiCert opisuje tę grupę jako konta zawierające „dodatkowe dane osobowe w postaci dokumentu dostarczonego przez klienta”.

Granice sprawy mają znaczenie dla każdego, kto ma certyfikat na produkcji. DigiCert podaje, że jego usługi urzędu certyfikacji, CertCentral i DigiCert ONE nie zostały naruszone, a dane logowania klientów i wydane certyfikaty pozostają bezpieczne. Śledczy nie znaleźli śladów wydawania certyfikatów, zmian w walidacji ani działań związanych z unieważnianiem powiązanych z tym kontem, więc klienci nie muszą wymieniać aktywnych certyfikatów. Rescana, która 6 listopada opublikowała ocenę incydentu, klasyfikuje zdarzenie jako średniej wagi o dużym zasięgu i stwierdza, że raport DigiCert nie daje podstaw do awaryjnej wymiany certyfikatów.

Co DigiCert zmienił i co dalej

DigiCert ograniczył dostęp do dotkniętego systemu, wyłączył samodzielną rejestrację i dodał mechanizmy kontroli dostępu. Zresetował też hasła do systemów biznesowych, przeniósł pozostałe odsłonięte punkty końcowe za prywatną infrastrukturę sieciową i wzmocnił monitoring.

Alerty o dostępie do plików i wolumenie zapytań na poziomie aplikacji włączono 15 października.

Raport wymienia trzy czynniki, które się do tego przyczyniły: zmianę w sieci wprowadzoną bez odpowiedniego przeglądu bezpieczeństwa, monitoring, który nie obejmował aktywności kont w systemach biznesowych, oraz model autoryzacji, który nie przewidywał samodzielnej rejestracji. Wniosek, jaki firma z tego wyciąga, brzmi: „Autoryzacji dla systemu biznesowego nie wolno delegować do jego położenia w sieci”.

Dwa działania naprawcze, audyt ekspozycji serwerów źródłowych i przegląd automatycznych alertów o kontach, miały zostać ukończone 6 listopada. DigiCert podał, że na życzenie może udostępnić zbiorcze liczby programom korzeniowym przeglądarek, co jest drogą, którą liczba poszkodowanych może w końcu trafić do opinii publicznej.