security
サーバー移行の不手際で入り口が開いたままになり、DigiCertは何者かが侵入したことに数カ月間気づかなかった
DigiCertは、サーバー移行の不手際により社内システムが1年以上にわたってインターネットに露出し、権限のない第三者がパスポートや運転免許証などの身分証明書類を含む顧客データにアクセスできる状態だったことを認めました。
この認証局（CA）は影響を受けた顧客への通知を始めていますが、情報が露出した人数はまだ明らかにしていません。
The Registerが確認したメールの中で、DigiCertは、漏えいした情報に氏名、業務用メールアドレス、電話番号、事業所の住所が含まれていたことを確認しました。一部の記録には、パスポート、運転免許証、公共料金の請求書、その他の身分証明書類も含まれていた可能性があります。
DigiCertは影響を受けた顧客に対し、「該当する個人を特定するため、身分証明書類の確認作業を進めています」と説明しました。確認が完了した時点で、対象者に改めて通知するとしています。
DigiCertのインシデントレポートによると、問題の発端は2025年2月にさかのぼります。社内の業務システムをVPNで保護されたネットワークから別のアベイラビリティゾーンへ移した際、このシステムが公衆インターネットにも公開されてしまいました。DigiCertは16カ月以上、この状態に気づかなかったといいます。
このアーカイブは、DigiCertの顧客向け製品と同じアカウント管理プラットフォームを使用していました。そのため、社内システムでは提供されるはずのなかったセルフ登録機能が利用可能になっていました。部外者は多要素認証なしでアカウントを作成でき、別の権限設定の不備を突いて、アーカイブされた顧客記録を閲覧できたのです。
DigiCertは2026年6月18日に不正なアカウントを発見しましたが、アプリケーションに割り当てられていないことから、当初は無害と判断しました。3日後にはセキュリティ研究者がアカウント作成の問題について警告しましたが、DigiCertが対処を完了したのは7月2日でした。
しかし残念ながら、その間にすでに何者かが内部を探っていました。
DigiCertが顧客情報に実際にアクセスされたかどうかの調査に着手したのは、10月12日になってからです。10月19日、権限のないアカウントが6月27日から7月2日にかけて、アーカイブされた記録の一部にアクセスしていたことを確認しました。
DigiCertは、影響を受けた記録はアーカイブ全体の「ごく一部」だと説明していますが、今回の侵害に巻き込まれた顧客や個人の数は明らかにしていません。同社は、記事の公開時点でThe Registerの質問に回答していません。
DigiCertの事後分析は、読むのがつらい内容です。サーバー移行では適切なセキュリティレビューが行われず、監視は不審なアクティビティを検知できませんでした。アクセス制御も、セルフ登録されたアカウントに対してはほとんど役に立ちませんでした。同社はその後、セルフ登録を無効にし、ネットワークアクセスを厳格化したほか、監視を追加しました。数カ月前にこの監視があれば役立っていたはずです。
同社によると、認証局の運用、CertCentral、DigiCert ONEは影響を受けておらず、顧客の認証情報と発行済み証明書も安全に保たれています。また、権限のないアカウントが証明書の発行、失効、検証に使われた形跡も確認されていないとのことです。
証明書の安全性を心配する人にとっては朗報です。しかし、パスポートのコピーをDigiCertに預けた人にとっては、そうとも言えません。®
