Un account esterno ha letto l'archivio clienti dell'americana DigiCert, passaporti inclusi

Un account esterno ha letto parte dell'archivio clienti di DigiCert tra il 27 giugno e il 2 luglio: lo scrive l'autorità di certificazione in un rapporto sull'incidente pubblicato sul tracker Bugzilla di Mozilla. Si trattava soprattutto di contatti di lavoro: nomi, email aziendali, numeri di telefono e indirizzi delle imprese. Una "piccola minoranza" degli account clienti conteneva anche un documento come passaporto, patente o bolletta. DigiCert non dice quante persone siano coinvolte.

Come il sistema è diventato raggiungibile dall'esterno

Il 4 febbraio 2025 DigiCert ha spostato il sistema da un segmento di rete limitato alla VPN a un'altra zona di disponibilità, rendendolo raggiungibile dall'esterno. Il sistema includeva anche una funzione di registrazione autonoma pensata per altri prodotti. Gli account creati così non erano soggetti all'autenticazione a più fattori e ricevevano di default permessi di sola lettura, sufficienti per aprire i dati archiviati.

Secondo il rapporto nessuno se n'è accorto perché lo spostamento "è stato trattato come una modifica infrastrutturale e non come una modifica di sicurezza". Anche gli avvisi su nuovi account e volumi anomali di richieste erano insufficienti.

Visto a giugno, capito a ottobre

DigiCert scrive che il caso "è stato gestito inizialmente come un problema di creazione degli account e non come un accesso ai dati". La prima verifica ha sbagliato perché l'account non aveva applicazioni assegnate e il personale ha dato per scontato che non potesse leggere nulla.

Che cosa non è stato toccato, secondo l'azienda

Secondo il rapporto, l'account non poteva modificare record, approvare convalide o emettere certificati, e i log non mostrano emissioni o revoche collegate. I sistemi dell'autorità di certificazione stanno su segmenti di rete separati. DigiCert afferma che i clienti non devono sostituire i certificati attivi. Il caso è diverso dall'attacco al portale di assistenza di aprile, dopo il quale l'azienda ha revocato 60 certificati di firma del codice.

Che cosa non si sa ancora

Il rapporto non fornisce numeri e offre statistiche riassuntive solo ai rappresentanti dei programmi root, su richiesta. Nella discussione su Bugzilla un partecipante ha chiesto cifre e conferma che si tratti di dati di verifica degli abbonati, un altro ha domandato che cosa abbia fatto nascere il sospetto il 12 ottobre. Finora le risposte di DigiCert si limitano a segnare come completate alcune azioni.

L'azienda sta ancora esaminando i documenti di identità per capire chi sia coinvolto. Il portavoce ha detto a The Record che "non ci sono prove di uso improprio" e che le forze dell'ordine sono state informate, senza chiarire se gli aggressori si siano fatti vivi. Non è stato reso noto chi ci sia dietro l'account.

Se hai ricevuto l'email

La nostra lettura: il seguito più probabile è il phishing. Chi ha questi dati conosce il tuo nome, la tua email di lavoro e sa che sei un contatto di un cliente DigiCert, quindi un falso avviso di rinnovo o riconvalida sembrerebbe credibile. Poiché DigiCert dice che sui certificati non c'è nulla da fare, diffida di qualsiasi messaggio su questo incidente che chieda di accedere o di riemettere. Se hai mai inviato un documento a DigiCert, chiedi se rientra nei dati letti. La copia di un documento resta utile ai truffatori per anni, ed è per questo che il regolatore giapponese ha chiesto alle banche di non accettare più foto caricate dopo una fuga simile.