DigiCert: Internt arkiv läckte kunddata under 16 månader

DigiCert har bekräftat att en misslyckad serverflytt i februari 2025 ledde till att ett internt arkivsystem exponerades mot internet i mer än 16 månader. Under denna period kunde obehöriga aktörer skapa konton och läsa ut arkiverade kundregister, vilket innebar att känsliga uppgifter som namn, kontaktinformation och ibland pass eller körkort kommit på avvägar källa. Företaget har påbörjat underrättelser till de drabbade men har inte specificerat hur många kunder eller individer som berörs.

Vad som hände

Enligt DigiCerts incidentrapport, som citeras av The Register, började händelsekedjan i februari 2025 när ett internt affärssystem flyttades från ett VPN-skyddat nätverk till en annan tillgänglighetszon. Felet var att systemet därmed blev offentligt tillgängligt via internet, något som DigiCert inte upptäckte direkt. Systemet delade underhållsplattform med företagets kundtjänster, vilket innebar att en självregistreringsfunktion – som aldrig var avsedd för detta interna arkiv – fanns kvar aktiv.

Genom denna funktion kunde externa aktörer skapa konton utan multifaktorautentisering (MFA). På grund av ett separat behörighetsfel kunde dessa nyuppskottade konton användas för att bläddra i de arkiverade kundregistren. DigiCert upptäckte de obehöriga kontona den 18 juni 2026, men bedömde initialt att de var ofarliga eftersom de inte var kopplade till någon specifik applikation. Tre dagar senare, den 21 juni, rapporterade en säkerhetsforskare problemet med kontoskapandet. Det dröjde dock till den 2 juli innan DigiCert stängde av funktionen.

Först i oktober, den 12:e, inledde företaget en undersökning för att fastställa om kunddata faktiskt lästs ut. Den 19 oktober kunde DigiCert bekräfta att ett obehörigt konto hade fått åtkomst till en delmängd av de arkiverade registren mellan den 27 juni och den 2 juli 2026. Företaget beskriver de drabbade posterna som en "liten proportion" av sitt totala arkiv men har inte offentliggjort exakta siffror över antalet berörda kunder eller personer.

Bakgrund och konsekvenser

DigiCerts postmortem-rapport pekar på flera systemfel: serverflytten genomgick ingen lämplig säkerhetsgranskning, övervakningsverktygen registrerade inte misstänkt aktivitet i tid, och åtkontrollerna var otillräckliga mot konton skapade via självregistrering. Företaget har nu stängt av självregistreringen, skärpt nätverksåtkomsten och infört ny övervakning.

En viktig detalj i rapporten är att DigiCerts kärntjänster för certifikathantering – CertCentral och DigiCert ONE – inte påverkades av intrånget. Företaget uppger att inga kundinloggningsuppgifter eller utfärdade certifikat kommit på avvägar, och att det inte finns några bevis för att de obehöriga kontona använts för att utfärda, återkalla eller validera certifikat.

Detta innebär att den kryptografiska integriteten i DigiCerts infrastruktur står sig, men dataskyddet för de kunder som lämnat in identitetsdokument till det interna arkivet har brutits. DigiCert arbetar nu med att identifiera vilka specifika individer vars pass, körkort eller elräkningar exponerades för att kunna underrätta dem individuellt.