A DigiCert olyan adatvédelmi incidenst hozott nyilvánosságra, amely archivált ügyféladatokat, köztük üzleti kapcsolattartási információkat és egyes esetekben személyazonosító dokumentumokat érintett. A tanúsítványkiadó szerint egy belső üzleti rendszer jogosulatlan hozzáférést tett lehetővé, miközben a tanúsítványokat kezelő szolgáltatásai nem sérültek.
Az érintett adatok között nevek, üzleti e-mail-címek, telefonszámok és üzleti címek szerepeltek. Egyes nyilvántartások az ügyfelek által korábban benyújtott dokumentumokat is tartalmaztak, például útlevelet, vezetői engedélyt, közüzemi számlát vagy más, nevet és címet feltüntető iratot.
A vállalat megkezdte az érintett ügyfelek tájékoztatását. A nyilvánosságra került értesítés szerint a személyazonosító dokumentumok felülvizsgálata külön feladatot jelentett annak megállapításához, hogy pontosan kik érintettek. Forrás: BleepingComputer – a DigiCert ügyfélértesítése
Az eset két kérdésre irányítja a figyelmet: hogyan védik a szervezetek az érzékeny dokumentumokat az archiválás után, és hogyan állapítják meg, hogy egy váratlanul megjelent fiók ténylegesen hozzáfért-e adatokhoz.
Egy migráció tette elérhetővé a belső archívumot
A DigiCert Mozilla nyilvános tanúsítványkiadói megfelelőségi hibakövetőjében közzétett jelentése szerint a probléma egy 2025. február 4-i infrastruktúra-migrációval kezdődött. A korábban VPN-hozzáférésre korlátozott belső üzleti rendszer másik rendelkezésre állási zónába került, és kívülről is elérhetővé vált.
A rendszer fiókkezelőjében olyan önkiszolgáló regisztrációs funkció is működött, amelyet más felhasználási esetekre szántak. Ezen keresztül külső személyek a munkatársaktól megkövetelt többtényezős hitelesítés nélkül hozhattak létre fiókokat.
Bár ezekhez a fiókokhoz nem rendeltek alkalmazást, a jogosultságkezelés hibája miatt olvasási hozzáférést kaptak az archivált adatokhoz. Forrás: DigiCert – teljes incidensjelentés
A biztonsági probléma a hálózati elérhetőség és az alkalmazásszintű engedélyezés együttes működéséből alakult ki. Attól, hogy egy fiók be tud jelentkezni, még nem szabadna érzékeny dokumentumokhoz hozzáférnie.
Az OWASP jogosultságkezelési útmutatója külön kezeli a hitelesítést és az engedélyezést. Előbbi azt ellenőrzi, hogy ki a felhasználó, utóbbi pedig azt, hogy milyen erőforrásokhoz férhet hozzá és milyen műveleteket végezhet. Az ajánlás alapértelmezett tiltást, a szükséges legkisebb jogosultság alkalmazását és minden kérésnél végrehajtott ellenőrzést ír le. Forrás: OWASP Authorization Cheat Sheet
Egy archívum esetében ebből az következik, hogy az újonnan létrehozott fiók csak kifejezett és indokolt engedély alapján érhet el ügyféladatokat. Az alkalmazás- vagy szerepkör-hozzárendelés hiányának hozzáférés-megtagadást kell eredményeznie.
Ez az OWASP elveiből következő tervezési követelmény, nem a DigiCert rendszerének további, nyilvánosan igazolt műszaki részlete.
Az első vizsgálat nem ismerte fel az adathozzáférést
A DigiCert már 2026 júniusában észlelte a nem hozzá tartozó fiókokat, de kezdetben arra jutott, hogy azok nem érhetnek el ügyféladatokat. A vállalat kezelt biztonsági kutatási programján keresztül később külön bejelentés is érkezett a külső fióklétrehozás lehetőségéről.
A biztonsági javítások bevezetése ekkor még nem járt együtt annak felismerésével, hogy az archívumhoz korábban már hozzáfértek.
A jelentés főbb időpontjai:
| Időpont | Esemény |
|---|---|
| 2025. február 4. | A migráció után a korábban VPN mögött működő rendszer kívülről is elérhetővé vált. |
| 2026. június 18. | Belső munkatársak idegen fiókokat észleltek, de kezdetben úgy ítélték meg, hogy azoknak nincs adathozzáférésük. |
| 2026. június 21. | Külső bejelentés érkezett a fióklétrehozási lehetőségről. |
| 2026. június 27. – július 2. | A későbbi vizsgálat erre az időszakra igazolta a jogosulatlan adathozzáférést. |
| 2026. július 2. | Élesítették a jogosultságellenőrzést javító módosítást. |
| 2026. október 12. | Újabb vizsgálat indult az archivált adatokhoz való lehetséges jogosulatlan hozzáférés miatt. |
| 2026. október 19. | A DigiCert megerősítette az adathozzáférést. |
Forrás: DigiCert – az incidens idővonala
Fontos különbség, hogy a rendszer internetes elérhetőségének időszaka nem azonos az igazolt adathozzáférés időszakával. A nyilvános jelentés nem állítja, hogy a migrációtól kezdve folyamatosan olvasták volna az ügyféladatokat.
A történtek az incidenskezelés két külön feladatát mutatják meg: a hozzáférési út lezárását és annak megállapítását, hogy a lezárás előtt mi történt.
Egy váratlan fiók észlelésekor ezért a tényleges jogosultságokat, a munkameneteket és az erőforrásokra irányuló kéréseket is vizsgálni kell. Az adminisztrációs felületen látható besorolás önmagában nem bizonyítja, mit engedett meg az alkalmazás.
Egy látszólag semmihez sem rendelt fiók is elérhet olyan végpontokat, amelyek hozzáférés-ellenőrzése eltér a központi fiókkezelésben feltételezett működéstől.
A javításnak ezért visszamenőleges vizsgálattal kell kiegészülnie. A jogosultsági hiba azonosítása után azt is tisztázni kell, hogy kihasználták-e azt korábban, akár már létező fiókokon vagy munkameneteken keresztül.
A személyazonosító dokumentumok különösen érzékennyé teszik az esetet
Az érintettek szempontjából lényeges különbség van az üzleti kapcsolattartási adatok és az okmánymásolatok hozzáférhetővé válása között.
Más kockázatokkal kell számolnia annak, akinek egy nyilvántartásban a munkahelyi e-mail-címe szerepelt, és annak, akinek az útlevélmásolatát is tartalmazta az archívum.
A DigiCert ügyfélértesítése szerint a dokumentumok felülvizsgálatával az érintett személyek pontos körét is meg kellett határozni, majd külön tájékoztatni őket. Forrás: BleepingComputer – a dokumentumok érintettségének vizsgálata
A kapcsolattartási adatok és a szolgáltatói kapcsolat ismerete célzott megtévesztéshez adhat alapot. Elképzelhető például olyan hamis üzenet, amely szerint az ügyfélnek meg kell ismételnie a személyazonosság-ellenőrzést, különben fennakadás keletkezik a tanúsítványai kezelésében. A valós név, az elérhetőség és a DigiCerttel fennálló kapcsolat ismerete hitelesebbnek tüntetheti fel a megkeresést.
Ez lehetséges visszaélési forgatókönyv, nem bizonyíték arra, hogy ebben az ügyben ilyen csalás történt.
A DigiCert a The Recordnak adott nyilatkozatában azt közölte, hogy tudomása szerint nincs bizonyíték az érintett információkkal való visszaélésre. A vállalat az incidenst a hatóságoknak is jelentette. Forrás: The Record – a DigiCert nyilatkozata
Az okmányokat érintő adatvédelmi válasznak ezért az informatikai intézkedések mellett az érintett személyek tájékoztatására is ki kell terjednie. A szervezeteknek érdemes azonosítaniuk, kik nyújtottak be korábban dokumentumokat, és felhívniuk a figyelmüket a váratlan, újabb adatbekérések ellenőrzésére.
A DigiCert szerint a tanúsítványkezelés nem sérült
A vállalat közlése szerint a tanúsítványkiadói szolgáltatásokat, a CertCentralt és a DigiCert ONE platformot nem érintette az incidens. Az ügyfelek bejelentkezési adatai és a kiadott tanúsítványok biztonságban maradtak.
A DigiCert szerint emiatt az eset miatt nincs szükség az aktív tanúsítványok cseréjére.
A jogosulatlan fiók nem módosíthatott nyilvántartásokat, nem hagyhatott jóvá ellenőrzéseket és nem bocsáthatott ki tanúsítványokat. A vállalat a naplók vizsgálatával sem talált a fiókhoz kapcsolható tanúsítványkiadási, ellenőrzési vagy visszavonási tevékenységet. Forrás: DigiCert – az incidens hatásának értékelése
Ez az ügyfelek számára az érintett információk azonosítására és a személyes adataikkal érintett képviselők támogatására helyezi a hangsúlyt.
Az eset azt is mutatja, miért kell az incidens következményeit külön szempontok szerint értékelni. A bizalmasság azt érinti, hogy illetéktelenek megismerhettek-e információkat. A sértetlenség pedig azt, hogy módosították-e az adatokat vagy a folyamatokat.
Az írási hozzáférés tiltása védheti a nyilvántartások sértetlenségét, miközben az olvasási hozzáférés továbbra is súlyos adatvédelmi problémát okozhat. Az OWASP is a hibás hozzáférés-ellenőrzés lehetséges következményei között kezeli a jogosulatlan adatolvasást. Forrás: OWASP – jogosultságkezelési kockázatok
A javítások az eredeti hozzáférési hiba megszüntetésén túl is folytatódtak
A DigiCert jelentése többek között az önkiszolgáló regisztráció letiltását, a végpontok privát hálózati elérésre korlátozását, az érintett üzleti rendszer felhasználóinak jelszó-visszaállítását, további megfigyelési szabályokat és jogosultság-felülvizsgálatot sorolt fel.
Az eredeti intézkedési táblázat két feladatot még folyamatban lévőként tartott nyilván, 2026. november 6-i határidővel:
- belső audittal ellenőrizni, hogy az üzleti rendszer egyetlen háttérkiszolgálója sem érhető el közvetlenül kívülről;
- véglegesíteni a váratlan fióklétrehozások és jogosultságváltozások automatikus riasztásainak felülvizsgálatát.
A november 11-én elérhető későbbi bejegyzésekben a DigiCert már mindkét feladat befejezését közölte, és jelezte, hogy ezzel a felsorolt javító intézkedéseket lezárta. A korábbi táblázat „folyamatban” jelölése ezért önmagában már nem tükrözi a legfrissebb vállalati állapotjelentést. Forrás: DigiCert – a riasztási felülvizsgálat lezárása, a külső elérhetőségi audit lezárása
Az alapvető tervezési probléma összhangban áll a NIST zero trust útmutatójának figyelmeztetésével: egy rendszer vagy fiók nem kaphat automatikusan bizalmat pusztán a hálózati elhelyezkedése vagy tulajdonosa alapján. A védelem középpontjában az erőforrásoknak és a kifejezett hozzáférési döntéseknek kell állniuk. Forrás: NIST SP 800-207 – Zero Trust Architecture
Más szervezetek számára ebből egy konkrét ellenőrzési kérdés következik: az alkalmazás akkor is megtagadná-e a jogosulatlan kérést, ha egy tűzfalszabály, útvonal-módosítás vagy migráció váratlanul elérhetővé tenné?
A hálózati korlátozások fontos védelmi réteget jelentenek. Az alkalmazás jogosultsági ellenőrzéseinek azonban a környezet változása után is védeniük kell az adatokat.
A migrációk biztonsági felülvizsgálatának ezért a kapcsolatok mellett az így elérhetővé váló szolgáltatások tényleges működésére is ki kell terjednie. Ez különösen fontos a régebbi üzleti rendszereknél, ahol a hozzáférésről kialakított feltételezések hosszabb életűek lehetnek, mint az eredeti hálózati környezet.
Mit kell tisztázniuk az ügyfeleknek?
Az érintett szervezeteknek először azt érdemes megállapítaniuk, mely munkatársaik vagy képviselőik adtak át információkat a DigiCertnek, és tartozott-e ezekhez személyazonosító vagy lakcímet igazoló dokumentum.
A szolgáltatótól kért pontosításnak az alábbiakra célszerű kiterjednie:
- mely személyek és dokumentumok érintettek;
- milyen adatokhoz történt igazolt hozzáférés;
- milyen bizonyítékok alapján határozták meg az érintettséget;
- várható-e további, személyre szóló értesítés.
A váratlan megkereséseket megszokott, ellenőrzött csatornán kell visszaigazolni. Ha valaki újabb okmánymásolat feltöltését kéri, azt ismert kapcsolattartón keresztül vagy a hitelesített szolgáltatási felületen érdemes külön ellenőrizni.
Az ügyfélfiókok felhasználóinak és API-kulcsainak áttekintése általános biztonsági gyakorlatként hasznos lehet. Ezt azonban nem szabad úgy értelmezni, mintha a nyilvános jelentés ezek kompromittálódását állapította volna meg.
A tanúsítványkezelő csapatnak a biztonsági és adatvédelmi munkatársakkal is együtt kell működnie. A tanúsítványok biztonságára vonatkozó megnyugtató technikai megállapítás nem helyettesíti azoknak a munkavállalóknak a támogatását, akiknek személyes információi érintettek lehetnek.
Fontos kérdések továbbra is nyitva maradtak
A nyilvános tájékoztatás nem tartalmaz számszerű összesítést az érintett személyekről, szervezetekről vagy dokumentumokról. A jogosulatlan fiókot használó személy kilétét sem hozták nyilvánosságra.
A hibakövetőben többször is rákérdeztek az érintett adatkészlet méretére és arra, hogyan kapcsolódott az archívum a tanúsítvány-előfizetők ellenőrzéséhez. A DigiCert későbbi válaszai az ügyfelek által szolgáltatásbeállítás, felhatalmazások és más interakciók során átadott információk archiválására hivatkoztak, de nyilvános darabszámot nem adtak meg. Forrás: DigiCert – válasz az érintett adatokkal kapcsolatos kérdésekre
A vállalat azt is pontosította, hogy október 12-én talált először bizonyítékot a jogosulatlan hozzáférésre. A bizonyíték pontos természetéről a folyamatban lévő hatósági nyomozásra hivatkozva nem közölt további részleteket. Forrás: DigiCert – az októberi vizsgálat előzményei
Ezek a hiányzó információk korlátozzák az incidens teljes méretének megítélését. Az, hogy az archivált adatok „kis része” érintett, nem mutatja meg, hány embernek van szüksége tájékoztatásra vagy támogatásra, és az egyes személyek esetében mennyire érzékeny dokumentumok váltak hozzáférhetővé.
A biztonsági vezetők számára az eset a személyazonosság-ellenőrzéshez gyűjtött dokumentumok teljes életciklusának felülvizsgálatát indokolja: miért gyűjtik őket, hol maradnak másolatok, ki kérheti le azokat, és hogyan ellenőrzik a hozzáféréseket.
Az archivált információk ritkább használata nem indokolhat gyengébb védelmet. Az adatok érzékenysége azután is megmarad, hogy kikerülnek a napi üzleti folyamatokból.
Eredeti cím: DigiCert Breach Exposes Customer Details and Identity Documents After Internal System Was Left Accessible Online
