DigiCertは、アーカイブされた顧客情報（本人確認書類を含む）を保管する社内業務システムに対し、不正アクセスがあったことを確認しました。
Mozilla Bugzillaによると、同認証局は、流出した記録には主に氏名、業務用メールアドレス、電話番号、事業所の住所が含まれていたと説明しています。
ごく一部の顧客アカウントには、運転免許証、パスポート、公共料金の請求書など、氏名と住所が記載された書類も含まれていました。DigiCertは影響を受けたアーカイブ部分について「小規模」と説明していますが、影響を受けた顧客数は明らかにしていません。
問題の発端は2025年2月4日です。インフラ移行によって、システムがVPNで制限されたネットワークセグメントから、外部からアクセス可能なアベイラビリティゾーンへ移されました。
このシステムのアカウントマネージャーには、他の実装向けに用意されたセルフサービス登録機能が含まれていました。この機能が、意図せず社内システム上でアクセス可能な状態になっていました。
スタッフのアカウントは多要素認証で保護されていましたが、アプリケーションが割り当てられていないセルフ登録アカウントは多要素認証の対象外でした。そのうえ、アーカイブ情報への読み取り専用アクセス権を得ていました。
DigiCertの社内チームは2026年6月18日に外部アカウントの存在に気づきました。しかし、アプリケーションが割り当てられていないアカウントはデータにアクセスできないと誤って判断しました。
チームはシステムをWebアプリケーションファイアウォールの背後に置き、この経路からの新規登録を遮断しました。6月21日には、マネージド型のセキュリティ調査プログラムが外部アカウントの作成を報告しています。
その後の調査で、6月27日から7月2日にかけてアーカイブへの不正アクセスが発生していたことが判明しました。登録の問題とは別に、認可の不備も存在していたことになります。
7月2日の本番環境パッチでは、アカウントマネージャーのトークン検証を必須とし、アプリケーションが割り当てられていないアカウントをHTTP 401で拒否するようにしました。
DigiCertは7月9日、承認済みの外部エンドポイントを除き、システムのホスト名へのアクセスをVPN経由のトラフィックに限定しました。それでも当初は、データアクセスの事案ではなく、アカウント作成の問題として扱っていました。
アーカイブへのアクセスを最初に疑ったのは10月12日で、ファイルアクセス記録とリクエスト量のフォレンジック調査を経て、10月19日に報告対象のインシデントと確認しました。調査では、アカウント作成と内部エンドポイントの動作に対する監視が不十分だったことが分かりました。
遮断されたアクセスを対象とするセキュリティ情報イベント管理（SIEM）のアラートは7月2日までに存在していました。ただし、アプリケーションレベルのファイルアクセスとリクエスト量に関するアラートを追加したのは10月15日です。
対策として、パスワードのリセット、業務システムの全インスタンスでのセルフ登録の無効化、公開状態だった残りのエンドポイントのプライベートIPロードバランサー配下への移動を実施しました。その後のアクセス制御の見直しでは、各サブシステムのエンドポイントがアプリケーションの割り当てとロールを確認していることを確かめています。
DigiCertによると、同社の認証局サービス、CertCentral、DigiCert ONEに影響はありませんでした。調査では、関連する検証操作、証明書の発行、失効の動きは確認されていません。問題のアカウントは、記録の変更も検証の承認もできなかったということです。
顧客のログイン認証情報と発行済みの証明書は安全で、有効な証明書を交換する必要もありません。オリジンサーバーの露出状況の監査と、自動アカウントアラートの見直しは引き続き進行中で、いずれも11月6日の完了を予定しています。
1万6,000以上のSOCチームがANY.RUNを導入し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/digicert-confirms-data-breach/
