DigiCertは、法人顧客の氏名やメールアドレスなどの連絡先情報に影響するデータ漏えいが発生したと公表しました。
問題の発端は、顧客情報のアーカイブに使われていた社内の業務システムです。このシステムは2025年2月に別のネットワークセグメントへ移されましたが、その際に意図せずインターネットへ公開された状態になっていました。
攻撃者は、このシステムのアカウントマネージャーに備わっていたセルフ登録機能を悪用しました。この機能は別の目的で構築されたもので、多要素認証（MFA）を必要としません。攻撃者はこれを使って読み取り専用アカウントを作成し、6月27日から7月2日にかけてアーカイブデータにアクセスしました。
DigiCertは7月2日に不正アカウントをブロックしました。その後、10月になって、このアカウントがアーカイブ済みの顧客連絡先情報へのアクセスに使われていたと判断しました。対象となった情報には、氏名、メールアドレス、電話番号、事業所の住所が含まれます。
一部のケースでは、顧客が提出した運転免許証、パスポート、公共料金の請求書など、氏名と住所が記載された書類も侵害されました。
「このアクセスでは、レコードの書き込み、検証承認者としての操作、証明書の発行はできませんでした」と、DigiCertは説明しています。「認証局（CA）のシステムは独自の安全なネットワークセグメントで稼働しており、この外部からのアクセスの影響を受けていません」
同社によると、このインシデントは当初、アカウント作成イベントとして調査・対処されていました。しかし10月12日、不正アカウントがアーカイブデータにアクセスした可能性があるとの疑いを持ち、調査を開始しました。
同社は10月中旬以降、監視とアラートを追加で導入しました。あわせて、DigiCert以外の残存アカウントを確認または削除し、業務システムの全ユーザーのパスワードをリセットしました。さらに、ユーザーが自己登録できる機能を無効化し、業務システムの所有状況と権限ポリシーの適用状況も確認しています。
DigiCertは、影響を受けた可能性のある顧客の数を明らかにしていません。SecurityWeekは同社にメールで問い合わせており、回答があり次第、この記事を更新します。
翻訳元: https://www.securityweek.com/digicert-data-breach-impacts-business-customer-information/
