DigiCertの顧客は、パスワードを変更するだけでは解消できない侵害リスクに直面している。本人確認書類が流出したためだ。
世界有数の認証局であるDigiCertは、権限のない第三者が社内のアーカイブ業務システムにアクセスし、顧客の連絡先記録と個人識別書類が流出したことを確認した。この侵害は、2025年2月に実施したインフラ移行が発端だった。社内システムが誤って16カ月以上にわたりインターネットへ公開されていた。
同社によると、認証局サービス、顧客のログイン認証情報、発行済み証明書には影響がなかった。それでも、流出した顧客情報は標的型フィッシングやなりすましに悪用される可能性がある。
社内アーカイブがウェブ上に公開された経緯
露出は2025年2月4日に始まった。DigiCertが社内業務アーカイブをVPNで制限されたネットワークセグメントから別のアベイラビリティーゾーンへ移した際、システムが誤って外部からアクセス可能になったためだ。サーバーの移行に伴い、他のアプリケーション向けだった自己登録機能も誤って公開された。
外部ユーザーは、通常スタッフに求められる多要素認証（MFA）なしでアカウントを登録できた。これらのアカウントにはアプリケーションのロールが割り当てられていなかったが、権限設定の不備により、アーカイブされた顧客ファイルへの読み取り専用アクセスがデフォルトで付与された。
DigiCertは2026年6月18日に社外アカウントを発見し、新たな外部登録を阻止するためシステムをウェブアプリケーションファイアウォールの背後に置いた。スタッフは当初、アプリケーションが割り当てられていないアカウントはデータにアクセスできないと判断していた。
6月21日には、同社の管理下にあるセキュリティ研究プログラムを通じて報告が寄せられた。DigiCertは7月2日に認可修正を適用し、10月19日にアーカイブデータへの不正アクセスを確認した。
「このインシデントは当初、データアクセスではなくアカウント作成の問題として扱われた」とDigiCertはMozillaのBugzillaへのインシデント報告で認めた。
| インシデントの節目 | 記録日 | 主な運用上の詳細 |
|---|---|---|
| 露出開始 | 2025年2月4日 | サーバーをVPNセグメントから外部向けアベイラビリティーゾーンへ移行。 |
| 不正アクセス | 2026年6月27日～7月2日 | 読み取り専用でデータに不正アクセスできたことが確認された期間。 |
| 不備を修正 | 2026年7月2日 | 外部アクセスを終了させる認可パッチを適用。 |
| 侵害を確認 | 2026年10月19日 | 調査により不正なデータアクセスを確認し、報告義務のあるインシデントと判断。 |
流出した本人確認書類がもたらす長期的なリスク
流出した記録の大半は、標準的な業務連絡先データだった。
- 氏名
- 企業メールアドレス
- 電話番号
- 勤務先の住所
ただし、顧客ファイルの一部には、証明書の審査時に提出された本人確認書類も含まれていた。運転免許証、パスポート、公共料金の請求書などだ。
クラウドアーキテクトのFabian Bader氏がXに投稿した侵害通知への反応は次の通りだ。「ありがとう、@digicert。データ漏えいが『限定的』で、私の個人を特定できる情報（PII）一式と、証明書のために提出した可能性のある本人確認書類だけにとどまったことに感謝するよ」
DigiCertによると、このアカウントから記録の変更、認証の承認、証明書の発行を行うことはできなかった。
顧客とセキュリティチームが確認すべきこと
影響を受けた顧客は、既知のサポート窓口を通じてDigiCertに連絡し、どの記録や書類が関係していたのかを確認すべきだ。組織は、該当する従業員または顧客担当者を特定し、流出した情報に応じて対応を調整する必要がある。
本人確認書類の再提出、証明書の変更承認、アカウント情報の提供を求める予期せぬ依頼には注意してほしい。そうした依頼は独自に検証すること。これは悪用の可能性に備えるための予防策であり、今回の開示によって、その後の詐欺が発生したと確認されたわけではない。
政府発行の身分証明書が流出した場合は、発行機関にインシデントを報告すべきか、また再発行が適切かを相談するとよい。再発行によって書類番号が変わる可能性はあるが、既存のコピーを回収したり、そこに含まれるすべての個人情報を変更したりすることはできない。
セキュリティチームにとって、このインシデントは社内アーカイブについて具体的に確認すべき点も示している。
確認する領域 | 検証内容 |
|---|---|
| アプリケーション権限 | 承認済みのロールを持たないアカウントから、記録やファイルを取得できないこと。 |
| 登録機能 | 社内システムが不要な公開サインアップ機能を継承していないこと。 |
| インフラ変更 | 移行レビューに、外部からの到達可能性とアプリケーションのアクセス制御が含まれていること。 |
| 監視 | 予期せぬアカウント作成や、通常とは異なるファイルアクセス量が調査のきっかけになること。 |
| データ保持 | 本人確認書類について、保持期間と削除プロセスが文書化されていること。 |
新規作成したアカウントやロールが割り当てられていないアカウントで権限をテストする。ファイルエンドポイントへの直接リクエストも含めること。制限されたインターフェースであることは、基盤となる記録が保護されている証明にはならない。
また、 Zeaburの侵害と顧客対応に関するガイダンスも、影響を受けたシステム全体で復旧を検証する必要性を強調している。アーカイブの露出を解消する前に、どのアカウントがどの記録にアクセスできたのかを特定し、関連するログを保存したうえで、修正後の制御によって不正アクセスが拒否されることを確認する必要がある。
詳しく読む：侵害対応は流出した情報次第だ。 mSecureインシデントでは、顧客が優先して保護すべきアカウントと保存済み認証情報を解説している。