Fremdes Konto las Kundenarchiv der US-Firma DigiCert, darunter Kopien von Reisepässen

Ein fremdes Konto hat zwischen dem 27. Juni und dem 2. Juli einen Teil von DigiCerts Archiv mit Kundendaten gelesen. Das schreibt die Zertifizierungsstelle in einem Vorfallbericht im Bugzilla-Tracker von Mozilla. Betroffen waren vor allem geschäftliche Kontaktdaten: Namen, geschäftliche E-Mail-Adressen, Telefonnummern und Firmenadressen. Bei einer "kleinen Minderheit" der Kundenkonten lag außerdem ein Dokument wie Reisepass, Führerschein oder Versorgerrechnung vor. Wie viele Menschen betroffen sind, sagt DigiCert nicht.

Wie das System von außen erreichbar wurde

Am 4. Februar 2025 verlegte DigiCert das System aus einem VPN-beschränkten Netzsegment in eine andere Availability Zone. Dadurch war es von außen erreichbar. Außerdem besaß es eine Selbstregistrierung, die für andere Produkte gedacht war. So angelegte Konten unterlagen keiner Multi-Faktor-Authentifizierung und erhielten standardmäßig Leserechte. Das genügte, um archivierte Daten zu öffnen.

Laut Bericht fiel das niemandem auf, weil der Umzug "als Infrastrukturänderung und nicht als Sicherheitsänderung behandelt wurde". Auch die Warnungen zu neuen Konten und ungewöhnlichem Anfragevolumen reichten nicht aus.

Im Juni gesehen, im Oktober verstanden

DigiCert schreibt, der Fall sei "zunächst als Problem bei der Kontoerstellung und nicht als Datenzugriff behandelt worden". Die erste Prüfung lag falsch, weil dem Konto keine Anwendung zugewiesen war und die Mitarbeiter deshalb annahmen, es könne nichts lesen.

Was laut Unternehmen unberührt blieb

Dem Bericht zufolge konnte das Konto weder Datensätze ändern noch Validierungen genehmigen oder Zertifikate ausstellen. Die Protokolle zeigen keine damit verbundene Ausstellung oder Sperrung. Die Systeme der Zertifizierungsstelle laufen in eigenen Netzsegmenten. Aktive Zertifikate müssen Kunden laut DigiCert nicht austauschen. Der Fall ist nicht zu verwechseln mit dem Angriff auf das Support-Portal im April, nach dem das Unternehmen 60 Code-Signing-Zertifikate widerrief.

Was noch unbekannt ist

Eine Zahl nennt der Bericht nicht, zusammenfassende Statistiken bietet DigiCert nur Vertretern der Root-Programme auf Anfrage an. Im Bugzilla-Thread bat ein Teilnehmer um Zahlen und um Bestätigung, dass es um Validierungsdaten von Zertifikatskunden geht. Ein anderer fragte, was am 12. Oktober den Verdacht auslöste. DigiCerts bisherige Antworten dort melden nur erledigte Maßnahmen.

Das Unternehmen prüft weiterhin Ausweisdokumente, um festzustellen, wer betroffen ist. DigiCert sagte The Record, es gebe "keine Hinweise auf Missbrauch" und die Strafverfolgung sei informiert. Ob sich die Angreifer gemeldet haben, wollte DigiCert nicht sagen. Wer hinter dem Konto steckt, ist nicht bekannt.

Falls Sie die E-Mail bekommen haben

Unsere Einschätzung: Am wahrscheinlichsten folgt Phishing. Wer diese Daten hat, kennt Ihren Namen, Ihre geschäftliche E-Mail-Adresse und weiß, dass Sie Kontaktperson eines DigiCert-Kunden sind. Eine gefälschte Nachricht zur Verlängerung oder Neuvalidierung wirkt damit glaubwürdig. Da bei Zertifikaten laut DigiCert nichts zu tun ist, sollten Sie jede Nachricht zu diesem Vorfall misstrauisch prüfen, die eine Anmeldung oder Neuausstellung verlangt. Falls Sie DigiCert je einen Ausweis geschickt haben, fragen Sie nach, ob er zu den gelesenen Daten gehört. Eine Ausweiskopie bleibt für Betrüger jahrelang nützlich. Deshalb forderte Japans Aufsicht die Banken auf, nach einem ähnlichen Leck keine hochgeladenen Fotos mehr zu akzeptieren.