DigiCert veri ihlali: kimlik belgeleri açıkta

DigiCert veri ihlali, bir sunucu taşıma işleminde yapılan hatayla ortaya çıktı. Şirket, dahili bir iş sistemini yanlışlıkla internete açtığını duyurdu. Bu nedenle yetkisiz biri müşteri bilgilerine ve kimlik belgelerine ulaştı.

DigiCert, web sitelerine dijital sertifika veren bir sertifika otoritesi. Dolayısıyla müşterileri kimlik doğrulama için şirkete belge ve iletişim bilgisi veriyor. Ancak DigiCert veri ihlali, arşivdeki verilerin küçük bir bölümünü dışarıdan görünür kıldı.

Hangi bilgiler açığa çıktı?

Şirketin açıklamasına göre ihlal, arşivlenmiş müşteri verilerinin küçük bir kısmını etkiledi. Açığa çıkan bilgiler arasında adlar, iş e-posta adresleri, telefon numaraları ve iş adresleri var. Ayrıca bazı kişilerin kayıtlarında sürücü belgesi, pasaport ve hizmet faturası gibi kimlik belgeleri de bulunuyordu.

DigiCert, etkilenen müşterilere bildirim göndermeye başladı. Bulut mimarı Fabian Bader, aldığı bildirimin bir kopyasını X'te paylaştı. Bader, ’sınırlı’ denen sızıntının kendi kişisel verilerinin tamamını kapsadığını yazdı. Üstelik sertifika için yüklediği doğrulama belgeleri de risk altında olabilir.

Bildirimde, kimlik belgelerinin incelemesinin sürdüğü belirtiliyor. Şirket, kimlerin etkilendiğini belirledikten sonra bu kişilere ayrıca haber verecek. Çünkü belge içeren kayıtların kimlere ait olduğu henüz netleşmedi. Bu yüzden bildirimler iki aşamada ulaşacak.

DigiCert veri ihlali nasıl gerçekleşti?

Mozilla'nın Bugzilla platformundaki olay raporuna göre sorun, Şubat 2025'teki sunucu taşımayla başladı. Taşıma sırasında dahili bir iş sistemi internete açıldı. Oysa sisteme daha önce yalnızca VPN üzerinden erişiliyordu.

Sistemde, diğer uygulamalar için hazırlanmış bir kendi kendine kayıt özelliği vardı. Bu özellik, dışarıdan kullanıcıların hesap oluşturmasına izin veriyordu. Hesaplar hiçbir uygulamaya atanmamıştı. Ancak bir yetkilendirme hatası, bu hesapların arşivlenmiş müşteri bilgilerini salt okunur modda görmesini sağladı.

Tespit süreci aylar sürdü

DigiCert, Haziran 2026'da sistemde yetkisiz hesaplar gördü. Fakat hesaplar bir uygulamaya atanmadığı için müşteri bilgilerine ulaşamayacaklarını düşündü. Ardından yönetilen güvenlik araştırma programı üzerinden bir uyarı aldı. Uyarı, dış kullanıcıların sistemde hesap açabildiğini bildiriyordu.

Şirket erişimi kısıtlayan ve yetkilendirme hatasını gideren düzeltmeler yayınladı. Ama o sırada arşiv verilerine erişildiğini fark etmedi. Ancak 19 Ekim'de yapılan ek inceleme, yetkisiz bir hesabın 27 Haziran ile 2 Temmuz 2026 arasında müşteri bilgilerine eriştiğini doğruladı. DigiCert raporunda olayın başta veri erişimi değil, hesap oluşturma sorunu olarak ele alındığını kabul etti.

Şirket hangi önlemleri aldı?

DigiCert'e göre yetkisiz hesap yalnızca salt okunur erişime sahipti. Kayıtları değiştiremedi, sertifika doğrulamalarını onaylayamadı ve sertifika düzenleyemedi. DigiCert veri ihlali sonrasında şirket etkilenen sisteme erişimi kısıtladı, kendi kendine kaydı kapattı ve ek erişim denetimleri ekledi.

Ayrıca sertifika otoritesi hizmetleri, CertCentral ve DigiCert ONE platformları etkilenmedi. Müşteri giriş bilgileri ve düzenlenmiş sertifikalar da güvende. Son olarak, şirket kimlik belgelerinin incelemesi bittiğinde etkilenen kişilere ayrıca bildirim gönderecek.