DigiCert, kişisel kimlik belgeleri de dahil olmak üzere arşivlenmiş müşteri bilgilerini depolayan dahili bir sistemle ilgili veri ihlali olduğunu doğruladı. Güvenlik olusu, daha önce kısıtlanmış bir uygulamanın internet üzerinden erişilebilir olmasını sağlayan altyapı değişikliğinden kaynaklandı.
Sertifika yetkilisi, ele salınan bilgilerin öncelikle müşteri isimleri, iş e-posta adresleri, telefon numaraları ve iş adreslerinden oluştuğunu belirtti. Daha az sayıda kayıt ayrıca pasaportlar, ehliyetler, faturalar ve kimlik doğrulaması için sunulan diğer belgeleri içeriyordu.
DigiCert, kaç müşterinin etkilendiğini açıklamadı. Şirket, ortaya çıkan bilgileri arşivlenen kayıtlarının küçük bir parçası olarak tanımladı ve hangi kişilerin ek bildirim gerektirdiğini belirlemek için belgeleri inceliyor.
Güvenlik sorunu, 4 Şubat 2025’te DigiCert’in yalnızca sanal özel ağ üzerinden erişilebilen bir ağdan dahili bir iş uygulamasını farklı bir barındırma ortamına taşımasıyla ortaya çıktı. Göç, uygulamayı istemeden dış bağlantılara maruz bıraktı.
Etkilenen sistem, başlangıçta diğer uygulamalar için tasarlanmış bir kendi kayıt fonksiyonunu içeriyordu. Bu, dışarıdan gelenlerin DigiCert çalışanlarına uygulanan çok faktörlü kimlik doğrulama gereksinimleri olmadan hesap oluşturmasına olanak tanıyordu.
Bu yeni oluşturulan hesaplar bir uygulamaya atanmamış olsa da, yetkilendirme hatası arşivlenmiş müşteri kayıtlarını okumalarına izin veriyordu. İzinler, hesapların bilgileri değiştirmesine veya sertifika ile ilgili işlemler yapmasına izin vermiyordu.
DigiCert, yetkisiz hesapları ilk kez 18 Haziran 2026’da fark etti. Ancak, ilk araştırması yanlış bir şekilde hesapların hassas bilgilere erişemediği çünkü uygulama atamaları olmadığı sonucuna vardı.
Şirket daha sonra açığa çıkan kayıt işleviyle ilgili bir güvenlik araştırma raporu aldı ve sorunu çözmek için kısıtlamalar getirdi.
Daha fazla soruşturma, 27 Haziran ile 2 Temmuz 2026 arasında arşivlenmiş müşteri bilgilerine yetkisiz bir hesabın erişildiğini ortaya çıkardı. DigiCert, verilerin açığa çıkmasını 19 Ekim’de, faaliyetin gerçekleşmesinden birkaç ay sonra doğruladı.
Şirket, ilk yanıtının müşteri bilgilerinin zaten erişilmiş olma ihtimali yerine yetkisiz hesap oluşturulmasına odaklandığını kabul etti.
DigiCert, sertifika otoritesi altyapısının tehlikeye girmediğini vurguladı. CertCentral ve DigiCert ONE platformları, müşteri giriş kimlik bilgileri ve daha önce verilen dijital sertifikalar güvenli kaldı.
Araştırmacılar ayrıca yetkisiz hesabın sertifika verdiğine, değiştirdiğine veya iptal ettiğine dair hiçbir kanıt bulamadı. Sonuç olarak, müşterilerin bu olay nedeniyle mevcut sertifikalarını değiştirmelerine gerek yok.
Keşfin ardından DigiCert, açık kayıt işlevselliğini devre dışı bıraktı, etkilenen uygulamaya erişimi kısıtladı ve yetkilendirme kontrollerini ve güvenlik izlemesini güçlendirdi.