DigiCert'te arşiv sistemi ihlali: bazı müşterilerin ehliyet ve pasaport görüntüleri erişilmiş olabilir

Dünyanın büyük sertifika otoritelerinden DigiCert, bir iç iş sistemine yetkisiz erişim olduğunu ve bu erişimle arşivlenmiş müşteri bilgilerinin okunduğunu doğruladı. Mozilla'ya sunulan olay raporuna ve BleepingComputer ile SecurityWeek'in haberlerine göre erişilen kayıtlar ad, iş e-postası, telefon ve iş adresi bilgilerini içeriyor. Bazı müşterilerde ise doğrulama sürecinde paylaşılan ehliyet, pasaport ve fatura gibi ad ve adres içeren belgeler de etkilenen veriler arasında.

DigiCert kaç müşterinin etkilendiğini açıklamadı; şirketin "arşivlenmiş müşteri verisinin küçük bir bölümü" ifadesini kullandığı aktarılıyor. BleepingComputer, şirketin etkilenen müşterilere bildirim göndermeye başladığını yazdı.

Ne oldu? Haberlere göre olayın kökü Şubat 2025'teki bir sunucu taşımasına dayanıyor. Daha önce yalnızca VPN üzerinden erişilebilen bir iç sistem, farklı bir ağ segmentine taşınırken yanlışlıkla internete açıldı. Sistemde MFA istemeyen bir self-registration (kendi kendine kayıt) özelliği vardı; dışarıdan biri hesap açabildi ve bir yetkilendirme hatası bu hesaba arşiv verisini salt okunur görme imkânı verdi.

Zaman çizelgesi şöyle aktarılıyor: - 27 Haziran – 2 Temmuz 2026: Yetkisiz hesap arşiv verisine salt okunur erişime sahipti; DigiCert hesabı 2 Temmuz'da engelledi. - Haziran 2026: Şirket yetkisiz hesapları ilk fark ettiğinde bunları bir "hesap açma sorunu" olarak ele aldı ve müşteri verisine erişilmediği sonucuna vardı. - Ekim 2026: Yeniden yapılan inceleme hesabın müşteri bilgilerine eriştiğini doğruladı (SecurityWeek şüphenin 12 Ekim'de başladığını, BleepingComputer doğrulamanın 19 Ekim'de geldiğini yazıyor).

DigiCert raporda olayın ilk başta bir veri erişimi vakası olarak değil, hesap açma sorunu olarak işlendiğini kabul ediyor.

Sertifikalar etkilendi mi? Şirkete göre hayır. DigiCert, yetkisiz hesabın kayıt değiştiremediğini, doğrulama onayı veremediğini ve sertifika üretemediğini; CA sistemlerinin ayrı güvenli ağ segmentlerinde çalıştığını ve CertCentral ile DigiCert ONE platformlarının etkilenmediğini açıkladı. Müşteri giriş bilgileri ve verilmiş sertifikaların güvende olduğu belirtiliyor. Özel anahtarlarla ilgili bir ifade kaynaklarda yer almıyor.

Şirket self-registration'ı kapattığını, DigiCert dışı hesapları gözden geçirip kaldırdığını, tüm iş sistemi kullanıcılarının parolalarını sıfırladığını ve izlemeyi artırdığını söylüyor.

Ne yapılmalı? 1. DigiCert müşterisiyseniz bildirim e-postalarını kontrol edin; doğrulama sürecinde kimlik belgesi paylaşan çalışanlarınızı bilgilendirin. 2. Ad, iş e-postası ve telefon bilgisi elde eden saldırganlar sertifika yenileme ya da "doğrulama gerekli" temalı phishing deneyebilir. Bu tür talepleri yalnızca CertCentral arayüzünden doğrulayın. 3. Kendi ortamınızda ağ taşımalarından sonra hangi iç sistemlerin internete açıldığını gözden geçirin; dış yüzey taramasını taşıma sürecine ekleyin. 4. İç sistemlerde self-registration özelliklerini kapatın ya da MFA ve onay akışına bağlayın. 5. "Hesap açma anomalisi" gibi görünen olayları da veri erişimi açısından ilk günden incelemeye alın.