DigiCert, který vydává digitální certifikáty, přiznal neoprávněný přístup k údajům zákazníků. Interní archiv byl po přesunu serveru více než 16 měsíců dostupný z internetu.
Chyba vznikla v únoru 2025 při přesunu interního firemního systému ze sítě chráněné přes VPN do jiné části infrastruktury. Server se tím otevřel veřejnému internetu, aniž změna prošla řádnou bezpečnostní kontrolou. Dohled navíc nezachytil neobvyklý provoz.
Archiv používal stejnou správu uživatelských účtů jako zákaznické produkty DigiCertu. Omylem v něm zůstala samoobslužná registrace. Cizí člověk si tak mohl založit účet bez dalšího potvrzení identity. Kvůli chybě v nastavení oprávnění pak mohl procházet uložené záznamy.
DigiCert našel neautorizované účty 18. června 2026, ale zprvu je nepovažoval za riziko. Bezpečnostní výzkumník upozornil na možnost vytvářet nové účty o tři dny později. Firma registraci vypnula 2. července. Až 19. října potvrdila, že jeden neautorizovaný účet mezi 27. červnem a 2. červencem otevřel část archivovaných záznamů.
Záznamy obsahovaly jména, pracovní e-maily, telefonní čísla a adresy firem. U části z nich mohly být také kopie pasů, řidičských průkazů, účtů za energie nebo jiných dokladů. DigiCert uvedl, že šlo o malou část archivu, ale počet zasažených zákazníků ani lidí nezveřejnil. Nyní informuje dotčené zákazníky.
Systémy, přes které DigiCert vydává a spravuje certifikáty, podle firmy zasaženy nebyly. Týká se to služeb CertCentral a DigiCert ONE. Přihlašovací údaje i vydané certifikáty zůstaly v bezpečí. Firma nenašla důkaz, že by cizí účet certifikáty vydával, rušil nebo ověřoval.
Digitální certifikáty tedy fungovaly dál, přestože kopie dokladů zůstaly přístupné v interním archivu. Dostupnost služby sama o sobě neukazuje, jak dodavatel chrání další svěřená data. Při kontrole dodavatelů proto dává smysl evidovat také to, jaké doklady uchovávají, kdo k nim má přístup a kdy je mažou.
Při plánování bezpečnostních aktualizací nestačí vysoké skóre zranitelnosti. Přednost má oprava systému, který je vystaven útoku a jehož napadení ohrozí přístupy, data nebo provoz.
Během 30 dní lze určit odpovědnost za kyberbezpečnost, prověřit účty, obnovu záloh i postup pro první hodinu incidentu.
Kdo drží obnovovací slova, může s bitcoinem nakládat, zatímco logo banky v aplikaci z něj bankovní vklad neudělá a pojištění vkladů se na něj nevztahuje.
Napište nám, co u vás řešíte. Společně probereme, jestli vám můžeme pomoci.
