نشت اطلاعات مشتریان DigiCert به دلیل خطای پیکربندی در انتقال سرور

DigiCert admits 16-month security lapse exposed customer information

شرکت DigiCert تایید کرد که یک خطای فنی در انتقال سرور باعث شده است تا یک سیستم داخلی به مدت ۱۶ ماه در معرض دسترسی عمومی قرار گیرد. این نشت اطلاعات منجر به دسترسی غیرمجاز به مدارک هویتی و اطلاعات تماس مشتریان شده است.

جزئیات فنی و ریشه حادثه

این حادثه از فوریه ۲۰۲۵ آغاز شد؛ زمانی که یک سیستم داخلی از شبکه محافظت‌شده VPN به یک منطقه در دسترس‌پذیری (Availability Zone) دیگر منتقل شد. این جابجایی باعث شد سیستم مذکور بدون محافظت به اینترنت عمومی متصل شود. این سیستم از همان پلتفرم مدیریت حساب محصولات مشتری‌محور استفاده می‌کرد که شامل قابلیت ثبت‌نام خودکار بود؛ قابلیتی که هرگز نباید در یک سیستم داخلی فعال می‌بود.

این نقص به مهاجمان اجازه داد بدون نیاز به احراز هویت چندعاملی (MFA) حساب کاربری ایجاد کنند. علاوه بر این، یک نقص در کنترل‌های دسترسی (Permissions) به کاربران غیرمجاز اجازه داد تا در آرشیو سوابق مشتریان جستجو کنند. DigiCert در ۱۸ ژوئن ۲۰۲۶ متوجه حساب‌های غیرمجاز شد، اما تا ۲۱ ژوئن که یک محقق امنیتی هشدار داد، اقدام موثری انجام نداد و نهایتاً در ۲ ژوئیه دسترسی را مسدود کرد.

دامنه آسیب و وضعیت فعلی

اطلاعات افشا شده شامل نام، ایمیل تجاری، شماره تلفن و آدرس‌های تجاری است. در برخی موارد، مدارک هویتی نظیر گذرنامه، گواهینامه رانندگی و قبوض خدماتی نیز در میان سوابق دسترسی‌یافته وجود داشته است. DigiCert تایید کرده که یک حساب غیرمجاز بین ۲۷ ژوئن تا ۲ ژوئیه به بخشی از این آرشیو دسترسی پیدا کرده است.

این شرکت تاکید کرده است که عملیات اصلی صدور گواهی، پلتفرم CertCentral و DigiCert ONE تحت تاثیر قرار نگرفته‌اند و گواهی‌های صادر شده یا اعتبارنامه‌های مشتریان امن هستند. همچنین شواهدی مبنی بر صدور، ابطال یا تایید غیرمجاز گواهی‌ها مشاهده نشده است.

نکته‌های کلیدی

• قرارگیری سیستم داخلی در معرض اینترنت به مدت ۱۶ ماه به دلیل خطای انتقال سرور.
• دسترسی غیرمجاز به مدارک هویتی حساس شامل گذرنامه و گواهینامه رانندگی.
• عدم وجود احراز هویت چندعاملی و نقص در کنترل‌های دسترسی سیستم.
• تاخیر در شناسایی و واکنش به نفوذ با وجود هشدارهای اولیه.
• امن بودن زیرساخت‌های اصلی صدور گواهی و اعتبارنامه‌های مشتریان.

چه باید کرد

• غیرفعال‌سازی قابلیت ثبت‌نام خودکار در سیستم‌های داخلی.
• تشدید کنترل‌های دسترسی شبکه و محدود کردن دسترسی به سیستم‌های حساس.
• پیاده‌سازی سیستم‌های مانیتورینگ فعال برای شناسایی فعالیت‌های مشکوک در لحظه.
• انجام بازبینی‌های امنیتی دقیق پس از هرگونه تغییر در زیرساخت شبکه.