DigiCert 16 ماه وقفه امنیتی اطلاعات مشتری را پذیرفته است

DigiCert اعتراف کرده است که انتقال اشتباه سرور سیستم داخلی را برای بیش از یک سال در معرض اینترنت قرار داده و به کاربر غیرمجاز اجازه می‌دهد به داده‌های مشتری از جمله پاسپورت، گواهینامه رانندگی و سایر اسناد هویتی دسترسی داشته باشد.

مرجع صدور گواهی شروع به اطلاع رسانی به مشتریان آسیب دیده کرده است، اما هنوز فاش نکرده است که چه تعداد از افراد اطلاعات خود را در معرض دید قرار داده اند.

در ایمیلی که توسط The Register مشاهده شد، DigiCert اطلاعات به خطر افتاده شامل نام، آدرس ایمیل تجاری، شماره تلفن و آدرس کسب و کار را تأیید کرد. برخی از سوابق ممکن است حاوی گذرنامه، گواهینامه رانندگی، قبوض آب و برق یا سایر اسناد شناسایی باشند.

دیجی سرت به افراد آسیب دیده گفت: "ما در حال تکمیل بررسی مدارک شناسایی برای تعیین افراد خاص درگیر هستیم." وی افزود که پس از تکمیل بررسی به آن افراد اطلاع خواهد داد.

گزارش حادثه DigiCert این اشتباه را به فوریه 2025 ردیابی می کند، زمانی که یک سیستم تجاری داخلی از یک شبکه محافظت شده با VPN به یک منطقه در دسترس دیگر منتقل شد. این تغییر همچنین سیستم را به روی اینترنت عمومی باز کرد، جایی که بیش از 16 ماه بدون اینکه DigiCert متوجه شود در آنجا ماندگار شد.

بایگانی از همان پلتفرم مدیریت حساب به عنوان محصولات مشتری مدار DigiCert استفاده می کرد، از جمله ویژگی ثبت نام خود که هرگز قرار نبود در سیستم داخلی موجود باشد. این به افراد خارجی اجازه می‌داد تا حساب‌هایی را بدون احراز هویت چند عاملی ایجاد کنند و به لطف یک نقص مجوز جداگانه، از آنها برای مرور سوابق بایگانی شده مشتریان استفاده کنند.

DigiCert حساب‌های غیرمجاز را در 18 ژوئن 2026 پیدا کرد، اما در ابتدا آن‌ها را به‌عنوان بی‌ضرر رد کرد زیرا به یک برنامه اختصاص داده نشده بودند. یک محقق امنیتی سه روز بعد در مورد مشکل ایجاد حساب هشدار داد، اما تا 2 جولای طول کشید تا DigiCert آن را تعطیل کند.

متأسفانه، یک نفر قبلا به اطراف مشغول شده بود.

تا اینکه در 12 اکتبر بود که DigiCert شروع به تحقیق در مورد اینکه آیا واقعا به اطلاعات مشتری دسترسی داشته است یا خیر. در 19 اکتبر تأیید کرد که یک حساب کاربری غیرمجاز بین 27 ژوئن تا 2 ژوئیه به زیر مجموعه ای از سوابق بایگانی شده دسترسی داشته است.

DigiCert سوابق آسیب‌دیده را «نسبت کوچکی» از آرشیو خود توصیف کرد، اما تعداد مشتریان یا افراد را فاش نکرده است. این شرکت در زمان انتشار به سوالات The Register پاسخ نداد.

پس از مرگ DigiCert برای خواندن ناراحت کننده است. انتقال سرور بررسی امنیتی مناسبی دریافت نکرد، نظارت نتوانست فعالیت مشکوک را شناسایی کند، و کنترل‌های دسترسی برای حساب‌های خود ثبت‌نام چندان مورد استفاده قرار نگرفت. از آن زمان این شرکت ثبت نام خود را خاموش کرده، دسترسی به شبکه را سخت تر کرده و نظارتی را اضافه کرده است که ممکن است چند ماه قبل مفید واقع شود.

این شرکت گفت که عملیات مرجع صدور گواهی، CertCentral و DigiCert ONE تحت تأثیر قرار نگرفتند و افزود که اعتبار مشتری و گواهی های صادر شده امن باقی می مانند. همچنین هیچ مدرکی مبنی بر استفاده از حساب غیرمجاز برای صدور، ابطال یا اعتبارسنجی گواهی ها پیدا نکرد.

این خبر خوبی برای هر کسی است که نگران گواهینامه های خود است، اما برای کسانی که کپی پاسپورت خود را به DigiCert داده اند، خبر خوبی نیست. ®