認証局のDigiCert、法人顧客の情報が関与するデータ侵害を報告

インターネットセキュリティ企業のDigiCertは、社内の業務システムが外部に公開された状態となり、最終的に社外の何者かにアクセスされたとして、データ侵害を報告しました。

米ユタ州に本社を置く同社はコメントの求めに応じませんでしたが、Mozillaの不具合管理プラットフォーム「Bugzilla」に、経緯を説明する詳細な事後報告書を投稿しています。 

認証局であり、企業向けのセキュリティサービスも提供するDigiCertによると、インシデントの発端は2025年2月でした。社内の業務システムをVPNで制限されたネットワークの外へ移行したことで、外部からアクセスできる状態になったといいます。証明書は通常、Webサーバーの安全性を確認するために使われます。

同社は「2026-06-21以降、当該の業務システムが意図に反して外部からアクセス可能であること、そして未割り当てのアカウントが作成されていたことをDigiCertは把握しました」と説明し、この問題は7月2日までに修正されたと述べています。 

10月19日、DigiCertは6月27日以降にデータベースへアクセスされていたことを確認し、これが「報告対象のインシデント」にあたると判断しました。アクセスされたデータには、顧客の氏名、業務用メールアドレス、電話番号のほか、運転免許証、パスポート、公共料金の請求書などの書類やその他の情報が含まれていました。 

報告書には、影響を受けた顧客の数は記載されていません。 

同社は、データベースにアクセスした攻撃者が証明書を発行したり、その他の操作を行ったりすることはできなかったと指摘しています。認証局としてのサービスに影響はなく、顧客のログイン認証情報も盗まれていないとしています。 

報告書によると、このインシデントはMozilla、Google Chrome、Microsoft、Appleが定める規則により、報告が必要な事案に該当しました。 

DigiCertは、検知が遅れた理由について、システムの移行が「より詳細なレビューと承認を要するセキュリティ上の変更ではなく、インフラの変更として扱われていた」ためだと説明しています。

同社は「この業務システムには、外部からアクセス可能なエンドポイントを通じたアカウントの新規作成や、内部エンドポイントからのリクエスト量に対する十分なアラートが設定されていませんでした」と述べています。 

この問題はSNS上で波紋を広げました。DigiCertから届いた侵害通知メールを共有する人が相次いだためです。複数の投稿では、攻撃者が身分証明書やパスポートといった個人の書類を、特定の証明書と結び付けられる可能性への懸念が示されました。