DigiCertは、セキュリティ設定ミスによって社内の業務システムがインターネットに公開された結果、アーカイブされた顧客情報を保存するこのシステムに不正アクセスがあったことを認めました。
Cyber security news
この問題では、業務用の連絡先情報に加え、一部では本人確認書類も影響を受けました。一方でDigiCertは、CertCentralやDigiCert ONEなどの認証局サービス、顧客のログイン認証情報、発行済み証明書には影響がなかったと説明しています。
DigiCertのインシデントレポートによると、公開状態の発端は2025年2月4日でした。インフラ移行に伴い、システムがVPNで制限されたネットワークセグメントから、外部からアクセス可能なアベイラビリティゾーンへ移されたのです。
この変更により、他の実装でも使われているアカウント管理プラットフォームから引き継がれたセルフサービス登録エンドポイントが、意図せず公開されてしまいました。
DigiCertのデータ侵害
アーカイブデータ用のシステムは、顧客向け製品とは別に、独自のアカウントマネージャーインスタンスを運用していました。従業員は多要素認証で認証していましたが、公開された登録フローでは、アプリケーションが割り当てられていないアカウントが作成されました。
これらのアカウントには多要素認証（MFA）が適用されませんでした。さらに、既定で読み取り専用の権限が付与されており、その権限でもアーカイブされた顧客記録にアクセスできました。
DigiCertの社内チームは2026年6月18日、従業員ではないアカウントの存在に気づきました。しかし当初は、アプリケーションが割り当てられていないアカウントではデータにアクセスできないと判断していました。
外部からアクセス可能な経路では、Webアプリケーションファイアウォールが新規登録をブロックしました。その後、マネージド型のセキュリティ研究プログラムが6月21日に登録の問題を報告し、追加の検証とエンジニアリング調査が行われました。
Cyber security news
調査の結果、不正なデータアクセスは2026年6月27日から7月2日にかけて発生していたことが判明しました。7月2日には認可パッチが適用され、アプリケーションが割り当てられていないアカウントはHTTP 401レスポンスで拒否されるようになりました。ただしDigiCertは当初、このインシデントをデータアクセスが確認された事案ではなく、アカウント作成の問題として扱っていました。
この失敗は、クラウドの設定ミスがアプリケーションの認可不備と重なると被害が生じる例を示しています。ネットワークアクセスの制限は、個々のエンドポイントでの権限チェックの代わりにはなりません。
DigiCertは要因として、移行時のセキュリティレビューが不十分だったこと、アカウントの活動監視が不足していたこと、セルフ登録を想定していなかった認可モデルであったことを挙げています。
DigiCertは10月19日、報告義務のある侵害であることを確認しました。アクセスされた情報は主に、氏名、業務用メールアドレス、電話番号、業務用住所です。
ごく一部の顧客アカウントには、パスポート、運転免許証、公共料金の請求書などの追加書類が含まれていました。レポートは、アーカイブデータのうち影響を受けたのは少数だと説明していますが、影響を受けた顧客の数は明らかにしていません。
DigiCertが以前に起こしたドメイン検証証明書の失効インシデントとは異なり、今回は証明書の失効は不要でした。ログには、関連する証明書の発行、検証操作、失効の動きは確認されていません。不正なアカウントは、記録の変更も検証の承認もできませんでした。
是正措置として、セルフ登録の無効化、残るエンドポイントのプライベートIPロードバランサー配下への移行、業務システムのパスワードのリセット、ファイルアクセスアラートの追加を実施しました。DigiCertは、最終的な公開状況の監査とアカウント監視のレビューを11月6日に予定しており、いずれの作業も継続中です。
SOCにアラートの文脈を提供し、インシデントを迅速に止めましょう。16K SOCの脅威インテリジェンスを統合。
翻訳元: https://gbhackers.com/digicert-confirms-data-breach/
