DigiCert-მა აღიარა, რომ ხარვეზმა მომხმარებელთა მონაცემები გაამჟღავნა

სერვერის წარუმატებელმა გადატანამ სისტემაზე წვდომა შესაძლებელი გახადა, DigiCert-მა კი მხოლოდ თვეების შემდეგ შენიშნა, რომ მასში ვიღაც შეაღწია.

DigiCert-მა აღიარა, რომ სერვერის წარუმატებელი მიგრაციის შედეგად შიდა სისტემა ერთ წელზე მეტი ხნის განმავლობაში ინტერნეტში ღია იყო. ამის გამო არაავტორიზებულ მომხმარებელს მომხმარებელთა მონაცემებზე, მათ შორის პასპორტებზე, მართვის მოწმობებსა და სხვა პირადობის დამადასტურებელ დოკუმენტებზე წვდომა ჰქონდა.

სერტიფიკატების გამცემმა კომპანიამ დაზარალებული მომხმარებლებისთვის შეტყობინებების გაგზავნა დაიწყო, თუმცა ჯერ არ გაუმხელია, რამდენი ადამიანის ინფორმაცია გამჟღავნდა.

The Register-ის მიერ ნანახ ელექტრონულ წერილში DigiCert-მა დაადასტურა, რომ მოპარულ ინფორმაციაში სახელები, საქმიანი ელექტრონული ფოსტის მისამართები, ტელეფონის ნომრები და სამუშაო მისამართები შედიოდა. ზოგიერთ ჩანაწერში შესაძლოა პასპორტები, მართვის მოწმობები, კომუნალური გადასახადების ქვითრები ან სხვა პირადობის დამადასტურებელი დოკუმენტებიც ყოფილიყო.

DigiCert-მა დაზარალებულებს მისწერა: „პირადობის დამადასტურებელი დოკუმენტების შემოწმებას ვასრულებთ, რათა დავადგინოთ, კონკრეტულად რომელი პირები დაზარალდნენ“. კომპანიამ დასძინა, რომ შემოწმების დასრულების შემდეგ ამ ადამიანებს შეატყობინებდა.

DigiCert-ის ინციდენტის ანგარიში შეცდომის სათავეს 2025 წლის თებერვალში მომხდარ მოვლენას უკავშირებს. მაშინ შიდა ბიზნესსისტემა VPN-ით დაცული ქსელიდან ხელმისაწვდომობის სხვა ზონაში გადაიტანეს. ამ ცვლილებამ სისტემა საჯარო ინტერნეტშიც გახსნა, სადაც ის 16 თვეზე მეტი ხნის განმავლობაში დარჩა ისე, რომ DigiCert-მა ამის შესახებ არ იცოდა.

არქივი DigiCert-ის მომხმარებლებისთვის განკუთვნილი პროდუქტების ანგარიშების მართვის იმავე პლატფორმას იყენებდა. პლატფორმას თვითრეგისტრაციის ფუნქციაც ჰქონდა, რომელიც შიდა სისტემაში ხელმისაწვდომი არ უნდა ყოფილიყო. ამის შედეგად, გარეშე პირებს შეეძლოთ ანგარიშების შექმნა მრავალფაქტორიანი ავთენტიფიკაციის გარეშე. ცალკე არსებული წვდომის ხარვეზის წყალობით კი მათ არქივში დაცული მომხმარებლების ჩანაწერების დათვალიერებაც შეეძლოთ.

DigiCert-მა არაავტორიზებული ანგარიშები 2026 წლის 18 ივნისს აღმოაჩინა, თუმცა თავდაპირველად ისინი უვნებლად მიიჩნია, რადგან აპლიკაციასთან დაკავშირებული არ იყო. უსაფრთხოების მკვლევარმა ანგარიშების შექმნის პრობლემის შესახებ განგაში სამი დღის შემდეგ ატეხა, მაგრამ DigiCert-მა ხარვეზი მხოლოდ 2 ივლისს აღმოფხვრა.

DigiCert-მა მომხმარებელთა ინფორმაციაზე რეალურად ჰქონდა თუ არა წვდომა ვინმეს, მხოლოდ 12 ოქტომბერს დაიწყო გამოძიება. 19 ოქტომბერს კომპანიამ დაადასტურა, რომ არაავტორიზებულ ანგარიშს 27 ივნისიდან 2 ივლისამდე არქივში დაცული ჩანაწერების ნაწილზე ჰქონდა წვდომა.