Посторонний прочитал архив клиентов американской DigiCert, в том числе копии паспортов

С 27 июня по 2 июля посторонний аккаунт читал часть архива клиентских записей DigiCert: удостоверяющий центр сообщил об этом в отчёте об инциденте в трекере Bugzilla у Mozilla. В основном там были деловые контакты: имена, рабочие адреса почты, телефоны и адреса компаний. Но у «небольшого меньшинства» клиентских учётных записей лежал ещё и документ: паспорт, водительские права или счёт за коммунальные услуги. Сколько людей это затронуло, DigiCert не говорит.

Как система оказалась доступна снаружи

4 февраля 2025 года DigiCert перенесла систему из сегмента сети с доступом только по VPN в другую зону доступности, и к ней стало можно подключиться извне. Заодно в системе оказалась функция самостоятельной регистрации, рассчитанная на другие продукты. На созданные так аккаунты не распространялась многофакторная аутентификация, по умолчанию они получали права только на чтение, и этого хватало, чтобы открыть архив.

Этого никто не заметил, потому что перенос, как сказано в отчёте, «посчитали инфраструктурным изменением, а не изменением в безопасности». Оповещения о новых аккаунтах и необычном объёме запросов тоже работали плохо.

Заметили в июне, разобрались в октябре

DigiCert пишет, что сначала случай разбирали «как проблему с созданием аккаунтов, а не как доступ к данным». Первая проверка ошиблась из-за того, что аккаунт не был привязан ни к одному приложению, и сотрудники сочли, что читать он ничего не может.

Что, по словам компании, не пострадало

Согласно отчёту, аккаунт не мог менять записи, подтверждать проверки и выпускать сертификаты, а в журналах нет связанных с ним выпусков и отзывов. Системы удостоверяющего центра работают в отдельных сегментах сети. Менять действующие сертификаты клиентам не нужно, заявляет DigiCert. Это другой случай, не апрельский взлом портала поддержки, после которого компания отозвала 60 сертификатов для подписи кода.

Что пока неизвестно

Числа в отчёте нет: сводную статистику компания предлагает только представителям корневых программ и только по запросу. В обсуждении на Bugzilla один участник попросил назвать цифры и подтвердить, что речь о данных проверки подписчиков, другой спросил, что вызвало подозрения 12 октября. Пока DigiCert отвечала там лишь отметками о выполнении пунктов плана.

Компания всё ещё изучает документы, чтобы понять, кого это коснулось. В DigiCert заявили The Record, что «признаков злоупотребления» нет, а правоохранительные органы в курсе, но не ответили, выходили ли злоумышленники на связь. Кто стоял за аккаунтом, не раскрывается.

Если вам пришло письмо

Наша оценка: самое вероятное продолжение - фишинг. Обладатель этих данных знает ваше имя, рабочую почту и то, что вы контактное лицо клиента DigiCert, поэтому поддельное письмо о продлении или повторной проверке будет выглядеть правдоподобно. DigiCert говорит, что с сертификатами делать ничего не нужно, так что к любому сообщению об этом инциденте с просьбой войти в аккаунт или перевыпустить сертификат относитесь с подозрением. Если вы когда-либо отправляли DigiCert документ, спросите, попал ли он в прочитанную часть. Копия документа годами остаётся полезной мошенникам: поэтому регулятор Японии велел банкам перестать принимать загруженные фото после похожей утечки.