یک خطای عملیاتی در فرآیند مهاجرت سیستم‌های شرکت DigiCert منجر به دسترسی غیرمجاز به آرشیو داخلی اطلاعات تجاری و شخصی مشتریان شد. این حادثه باعث شد داده‌های حساس برای بیش از یک سال در معرض دید قرار گیرند.
جزئیات حادثه و بازه زمانی
این مرجع صدور گواهینامه (Certificate Authority)، سیستم داخلی آسیب‌دیده را در فوریه ۲۰۲۵ از پشت یک VPN به یک منطقه شبکه با دسترسی عمومی منتقل کرد و به طور ناخواسته آن را در معرض اینترنت قرار داد. شرکت در ژوئن ۲۰۲۶ متوجه این نفوذ شد و در ماه بعد اقدام به رفع مشکل کرد.
داده‌های افشا شده
در این نفوذ، بخشی از سوابق مشتریان از جمله موارد زیر لو رفت:
- نام‌ها و آدرس‌های ایمیل تجاری
- شماره تلفن و آدرس‌های کسب‌وکار
- مدارک تایید هویت (مانند پاسپورت، گواهینامه رانندگی و قبض‌های خدماتی)
طبق اعلام DigiCert، اطلاعات مربوط به اعتبارنامه‌های ورود (Login Credentials) یا گواهینامه‌های صادر شده توسط این شرکت تحت تاثیر قرار نگرفته‌اند و سرویس‌های CertCentral و DigiCert ONE کاملاً امن بوده‌اند.
تحلیل علت ریشه‌ای (Root Cause Analysis)
در تحلیل علت ریشه‌ای، DigiCert اذعان کرد که دسترسی شبکه سیستم را بدون انجام بررسی‌های امنیتی روی سطح حمله (Attack Surface) تغییر داده است. این مهاجرت باعث فعال شدن یک قابلیت ثبت‌نام حساب کاربری شد که به افراد خارجی اجازه می‌داد حساب‌هایی ایجاد کنند که به آرشیو داخلی دسترسی داشتند.
از آنجایی که این سیستم برای ذخیره‌سازی اطلاعات طراحی شده بود و نه ایجاد حساب کاربری، حساب‌های ثبت‌شده از طریق این نقطه دسترسی (Endpoint)، مشمول احراز هویت چندعاملی (MFA) نبودند. اگرچه این حساب‌ها تنها دسترسی خواندن (Read Access) داشتند، اما همین سطح دسترسی برای استخراج (Exfiltration) اطلاعات حساس مشتریان کافی بود.
پاسخ و اقدامات اصلاحی
پس از شناسایی نفوذ، DigiCert اقدامات زیر را انجام داد:
- قرار دادن آرشیو در پشت یک Web Application Firewall (WAF).
- مسدود کردن قابلیت ایجاد حساب کاربری از طریق دسترسی‌های خارجی.
- افزودن هشدار در سیستم SIEM برای شناسایی تلاش‌های مسدود شده جهت دسترسی.
با وجود این اقدامات، متخصصان امنیت هشدار می‌دهند که افشای اسکن پاسپورت و قبض‌های خدماتی می‌تواند برای حملات مهندسی اجتماعی (Social Engineering) و بازنشانی حساب‌های بانکی یا اپراتورهای موبایل توسط مهاجمان مورد استفاده قرار گیرد.
