DigiCert, jeden z największych urzędów certyfikacji na świecie, opublikował pełny raport z incydentu 1 listopada 2026 roku i rozpoczął powiadamianie poszkodowanych klientów.
Kluczowy fakt nie jest włamaniem w zwykłym rozumieniu. W lutym 2025 roku migracja przeniosła wewnętrzny system biznesowy poza sieć ograniczoną VPN-em, przez co stał się osiągalny przez internet. System ten korzystał z tej samej platformy zarządzania kontami co produkty klienckie DigiCerta i odziedziczył po niej funkcję samodzielnej rejestracji, której nigdy nie miało tam być.
Każdy mógł więc założyć konto, bez uwierzytelniania wieloskładnikowego. Osobna wada uprawnień sprawiała, że takie konta otrzymywały domyślne uprawnienia do odczytu sięgające archiwalnych danych klientów.
Nikt nie musiał niczego łamać. Na drzwiach wejściowych wisiał formularz rejestracyjny.
Historią jest tu oś czasu
Data | Co |
|---|---|
Luty 2025 | Migracja wystawia wewnętrzny system do internetu |
18 czerwca 2026 | DigiCert znajduje nieautoryzowane konta i uznaje je za nieszkodliwe, bo nie były przypisane do żadnej aplikacji |
27 czerwca do 2 lipca 2026 | Nieautoryzowane konto odczytuje archiwalne dane klientów |
2 lipca 2026 | Zamknięcie możliwości zakładania kont, po alarmie podniesionym przez badacza |
12 października 2026 | DigiCert zaczyna sprawdzać, czy dane klientów faktycznie odczytano |
19 października 2026 | Potwierdza dostęp i klasyfikuje go jako zdarzenie podlegające zgłoszeniu |
1 listopada 2026 | Publikacja pełnego raportu |
Dwie luki w tej tabeli ważą więcej niż samo naruszenie.
Szesnaście miesięcy ekspozycji, od migracji do zamknięcia rejestracji.
Cztery miesiące między znalezieniem kont a zbadaniem danych. Własny raport firmy jest w tej kwestii szczery: „Incydent potraktowano początkowo jako problem z zakładaniem kont, a nie jako zdarzenie dostępu do danych". Nieautoryzowane konta istniały, zostały zauważone i trafiły do szuflady z higieną systemu zamiast do pytania o to, co odczytały.
Firma równie wprost nazwała porażkę wykrywania, stwierdzając, że system miał „niewystarczające alertowanie o zakładaniu nowych kont przez punkt dostępny z zewnątrz" oraz o wolumenie zapytań z wewnętrznych punktów końcowych.
Co zabrano, a czego nie
Odczytane, w trybie tylko do odczytu, między 27 czerwca a 2 lipca:
Nazwiska, firmowe adresy e-mail, numery telefonów, adresy firmowe
W przypadku niewielkiej części kont również dokumenty tożsamości przekazane przez klientów: paszporty, prawa jazdy, rachunki za media
To te dokumenty są tu poważną częścią. Przekazywano je na potrzeby weryfikacji przy wydawaniu certyfikatu, co jest uzasadnionym wymogiem, i są dokładnie tym materiałem, który służy do oszustw tożsamościowych. W przeciwieństwie do hasła, numeru paszportu nie da się wymienić.
Nienaruszone, według DigiCerta:
Usługi urzędu certyfikacji, CertCentral i DigiCert ONE
Dane logowania klientów
Wydane certyfikaty
Nieautoryzowane konto miało dostęp wyłącznie do odczytu. Nie mogło modyfikować rekordów, zatwierdzać weryfikacji, wydawać certyfikatów ani ich unieważniać, a przegląd logów nie wykazał żadnej aktywności związanej z wydawaniem, weryfikacją czy unieważnianiem.
Klienci nie muszą wymieniać certyfikatów. Aktywne certyfikaty pozostają ważne i nie jest wymagane żadne działanie, chyba że DigiCert skontaktuje się z konkretnym kontem.
Czego nie ujawniono: ilu klientów i ilu osób dotyczy sprawa. DigiCert mówi o „niewielkiej części" archiwum i nie podał żadnej liczby.
Dlaczego uspokajająca część jest najważniejsza
Łatwo odczytać „usługi urzędu certyfikacji nienaruszone" jako korporacyjne odwracanie uwagi. To nie jest ten przypadek. To najbardziej doniosły fakt w całej sprawie i zasługuje na więcej uwagi niż samo naruszenie.
Urząd certyfikacji siedzi u korzenia zaufania w sieci. Napastnik zdolny wydawać certyfikaty może podszyć się pod dowolną stronę, przechwytywać ruch i podpisywać złośliwe oprogramowanie jako zaufany wydawca. Skutki nie ograniczyłyby się do klientów DigiCerta. Sięgnęłyby każdego, czyja przeglądarka ufa temu urzędowi, czyli praktycznie wszystkich.
To się nie stało, a powód jest architektoniczny. DigiCert podaje, że jego systemy urzędu certyfikacji działają w odrębnych, zabezpieczonych segmentach sieci. Wystawione archiwum i maszyneria wydająca certyfikaty nie były w tej samej sieci. Błąd migracji w jednym miejscu nie sięgnął drugiego.
To segmentacja robiąca dokładnie to, do czego służy, w przypadku, w którym liczyła się najbardziej. Warto to powiedzieć wprost, bo segmentacja jest zwykle niewidoczna i rozmawia się o niej tylko wtedy, gdy zawiedzie.
Dlaczego to ma znaczenie
Ekspozycję stworzyła rutynowa zmiana. Nie wykorzystano żadnej podatności i nie skradziono żadnych poświadczeń. Ktoś przeniósł system podczas migracji, a granica sieciowa, na której ten system polegał, zniknęła razem z nim. To zwyczajne zdarzenie operacyjne i właśnie tak powstaje ogromna część ekspozycji na internet.
Współdzielone platformy niosą swoje funkcje ze sobą. Punkt samodzielnej rejestracji istniał, bo system wewnętrzny korzystał z tej samej platformy zarządzania kontami co produkty klienckie. W produkcie klienckim samodzielna rejestracja jest funkcją. W wewnętrznym archiwum jest publicznymi drzwiami. Nikt nie podjął decyzji, żeby ją tam umieścić.
Znalezienie nieautoryzowanych kont to pytanie o dane, a nie o konta. To jest lekcja przenośna. DigiCert zauważył konta w czerwcu i zadał w ich sprawie złe pytanie. Właściwe pytanie, zadane cztery miesiące później, miało inną odpowiedź.
Dokumenty tożsamości przeżywają incydent. Nazwiska i firmowe adresy e-mail to rutynowa ekspozycja. Skan paszportu nie. Dokumenty weryfikacyjne zbiera się, bo wydanie certyfikatu wymaga potwierdzenia tożsamości, i leżą one w archiwach długo po tym, jak certyfikat został wydany.
Infrastruktura zaufania jest oceniana surowiej i słusznie. Wcześniejsze incydenty DigiCerta, czyli naruszenie systemu wsparcia dotyczące certyfikatów do podpisywania kodu oraz błąd weryfikacji DNS z 2024 roku wymuszający wymianę certyfikatów, są odrębnymi sprawami. Ale firma, której produktem jest zaufanie, kumuluje na sobie uwagę.
Co zrobić, jeśli jesteś klientem DigiCerta
Ustal, co przekazała Twoja organizacja. Zapytaj osobę zarządzającą kontem DigiCert, którzy przedstawiciele podali nazwisko, firmowy adres e-mail, numer telefonu lub adres i czy przesyłano jakiekolwiek dokumenty tożsamości na potrzeby weryfikacji.
Potraktuj dokumenty tożsamości priorytetowo. Jeśli przesłano paszport, prawo jazdy lub rachunek za media, to inna klasa ryzyka niż dane kontaktowe i może wymagać obserwacji sytuacji konkretnej osoby, a nie tylko firmy.
Nie wymieniaj certyfikatów. DigiCert informuje, że nie jest to potrzebne, a wydawanie, weryfikacja i unieważnianie nie zostały naruszone.
Spodziewaj się ukierunkowanego phishingu. Firmowe dane kontaktowe plus wiedza, że jesteś klientem DigiCerta, wystarczą do stworzenia przekonującej wiadomości o wygasającym certyfikacie lub konieczności weryfikacji. Każde takie żądanie sprawdzaj bezpośrednio w panelu DigiCert.
Sprawdź, czy dostałeś powiadomienie. DigiCert zawiadamia poszkodowanych klientów indywidualnie, więc brak powiadomienia też jest informacją.
I pytanie do własnej infrastruktury, bo to jest ta część, która się uogólnia: gdy system jest przenoszony podczas migracji, czy ktokolwiek sprawdza, że ograniczenia sieciowe, na których ten system polegał, zostały przeniesione razem z nim? Ten jeden sprawdzian dzieli sytuację DigiCerta od zwykłego wtorku.
