DigiCert מודה בדליפה: פרטי לקוחות ומסמכי זיהוי נחשפו בגלל תקלה בהעברת שרת
רשות התעודות DigiCert שולחת הודעות דליפה ללקוחות. מערכת פנימית נשארה פתוחה לאינטרנט במשך שנה וחצי, ותוקף קרא נתונים וחלק ממסמכי הזיהוי.
TL;DR בקצרה
- בפברואר 2025 מערכת עסקית פנימית של DigiCert יצאה מאחורי ה-VPN ונחשפה לאינטרנט
- בין 27 ביוני ל-2 ביולי 2026 חשבון זר קרא נתונים מהארכיון
- נחשפו שמות, מיילים, טלפונים וכתובות, ואצל מיעוט גם דרכון, רישיון נהיגה או חשבון חשמל
- לפי החברה, התעודות, CertCentral ו-DigiCert ONE לא נפגעו
DigiCert, אחת מרשויות התעודות הגדולות בעולם, מודיעה ללקוחות שתוקף קרא את הפרטים שלהם ממערכת פנימית שנשארה פתוחה לאינטרנט. בחלק מהמקרים הוא הגיע גם לצילומי דרכון, רישיון נהיגה או חשבון חשמל. אלה מסמכים שלקוחות שלחו לחברה כדי להוכיח את זהותם לפני הנפקת תעודה.
איך מערכת פנימית של DigiCert נפתחה לכל העולם
הכול התחיל בהעברת תשתית שגרתית ב-4 בפברואר 2025. כך מספרת החברה בדוח האירוע שפרסמה במערכת Bugzilla של Mozilla. עד אז המערכת ישבה מאחורי VPN. אחרי ההעברה אפשר היה להגיע אליה ישירות מהאינטרנט, ואף אחד לא שם לב.
למערכת הייתה בעיה שנייה. רכיב ניהול המשתמשים שלה כלל אפשרות הרשמה עצמית, שנועדה למוצרים אחרים. כל אחד יכול היה לפתוח בה חשבון, בלי אימות דו-שלבי. החשבונות האלה קיבלו הרשאת קריאה בלבד. אבל בפועל הם יכלו לקרוא את הארכיון של פרטי הלקוחות.
ב-18 ביוני 2026 עובדי החברה זיהו חשבונות זרים במערכת. הם הסיקו בטעות שלחשבונות אין גישה לנתונים. שלושה ימים אחר כך הגיע דיווח מתוכנית חוקרי האבטחה של החברה. ב-2 ביולי DigiCert חסמה את הפרצה. רק ב-19 באוקטובר החברה הבינה שחשבון זר אכן קרא נתונים, בין 27 ביוני ל-2 ביולי.
מה נחשף אצל DigiCert, ומה לא
לפי הודעת הדליפה שBleepingComputer פרסם, רוב המידע הוא פרטי קשר עסקיים. מדובר בשמות, כתובות מייל עסקיות, מספרי טלפון וכתובות של העסק. אצל מיעוט מהלקוחות היה גם מסמך מזהה. החברה עדיין בודקת את המסמכים, ותעדכן את מי שנפגע בסיום הבדיקה.
החשבון הזר לא יכול היה לשנות רשומות, לאשר אימות או להנפיק תעודות. DigiCert מדגישה שמערכות ה-CA, ממשק CertCentral ופלטפורמת DigiCert ONE לא נפגעו. לדבריה, גם סיסמאות הלקוחות והתעודות שהונפקו נשארו בטוחות. החברה לא מסרה כמה אנשים נפגעו. משתתף בדיון ב-Bugzilla כבר ביקש ממנה מספרים.
למה דליפה אצל רשות תעודות מטרידה במיוחד
רשות תעודות (CA) היא הגוף שמנפיק את תעודות ה-SSL שמציגות מנעול בדפדפן. כדי לקבל תעודה ברמת ארגון, העסק צריך להוכיח מי הוא. לכן הלקוחות שולחים לרשות פרטים של אנשי קשר, ולפעמים גם צילום של תעודה מזהה. בדיוק את החומר הזה התוקף ראה.
הסכנה המיידית היא פישינג ממוקד. תוקף שיודע מי אחראי על התעודות בארגון, ואיזה טלפון ומייל יש לו, יכול לשלוח הודעה משכנעת. למשל: התעודה שלכם עומדת לפוג, היכנסו לחדש אותה. צילום של דרכון או רישיון נהיגה פותח גם פתח לגניבת זהות.
יש כאן גם לקח לכל עסק. DigiCert התייחסה להעברת השרת כשינוי תשתית ולא כשינוי אבטחה. בעקבות האירוע היא קבעה שכל שינוי בחשיפה של מערכת פנימית דורש אישור של צוות האבטחה. היא גם ביטלה את ההרשמה העצמית ואיפסה את הסיסמאות של כל משתמשי המערכת.
מה זה אומר עבורכם
- אם קניתם תעודה מ-DigiCert, ישירות או דרך משווק, בדקו אם קיבלתם הודעת דליפה. בדקו גם את תיבת המייל של מי שרשום אצלם כאיש קשר.
- אין צורך להחליף תעודות פעילות. החברה מדגישה שהתעודות עצמן לא נפגעו.
- היזהרו ממיילים וטלפונים בשם DigiCert על חידוש או אימות תעודה. היכנסו לחשבון רק דרך הכתובת שאתם מכירים, ולא מקישור בהודעה.
- ודאו שאימות דו-שלבי פעיל בחשבון CertCentral של הארגון.
- אם שלחתם להם צילום דרכון או רישיון, עקבו אחרי פעילות חריגה בחשבונות שלכם. אם תקבלו הודעה שהמסמך שלכם נחשף, שקלו להחליף אותו.
מה הלאה
DigiCert עדיין משלימה שתי משימות שמועד היעד שלהן הוא 6 בנובמבר. האחת היא ביקורת פנימית שתוודא שאף שרת של המערכת לא חשוף לאינטרנט. השנייה היא התראות על פתיחת חשבונות חריגה. כדאי לעקוב גם אחרי תגובת תוכניות התעודות של Mozilla, Google, Microsoft ו-Apple, שמפקחות על רשויות התעודות.
מקורות והרחבה
- DigiCert: Unauthorized access to business system (incident report)Mozilla Bugzilla / DigiCert
- DigiCert data breach exposes customer information, identity documentsBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
