DigiCert'in doğrulama bilgilerini arşivlediği iç sisteme yetkisiz erişildi

TLS sertifikası veren sertifika otoritelerinden DigiCert, tarayıcıların güvendiği sertifika otoritelerinin olay bildirimlerini yaptığı Mozilla’nın hata kayıt sistemine 1 Kasım’da (Türkiye saatiyle 2 Kasım) eklediği tam olay raporunda, bir iç iş sistemine yetkisiz erişildiğini açıkladı. Şirketin 21 Ekim’de (Türkiye saatiyle) eklediği ön rapora göre bu sistem, müşteri temsilcilerinin kimliklerini doğrulamak için DigiCert’e verdikleri bilgileri saklıyor. DigiCert’e göre hiçbir sertifika işlemi etkilenmedi.

Olayın seyri

DigiCert’in raporuna göre sistem, 4 Şubat 2025’teki bir altyapı taşımasında yalnızca VPN üzerinden erişilebilen bir ağ bölümünden başka bir bölgeye taşındı ve bu sırada yanlışlıkla dışarıdan erişilebilir hâle geldi. Sistemin kullandığı hesap yönetim yazılımında, başka kullanım alanları için tasarlanmış bir hesap açma özelliği bu sistemde de açık kaldı. Bu yolla açılan hesaplar, DigiCert’in başka durumlarda zorunlu tuttuğu çok faktörlü doğrulamaya tabi değildi ve varsayılan olarak salt okunur yetkiyle açılıyordu. Ancak hiçbir uygulamaya atanmamış bu hesaplar arşivdeki verilere erişebiliyordu.

Rapora göre DigiCert 18 Haziran 2026’da sistemde şirkete ait olmayan hesaplar gördü, ancak hesaplar bir uygulamaya atanmadığı için veriye erişemeyeceği sonucuna vardı ve sistemi bir web uygulama güvenlik duvarının (WAF) arkasına aldı. 21 Haziran’da şirketin katıldığı bir güvenlik araştırma programından dışarıdan hesap açılabildiğine dair bir bildirim geldi. DigiCert 2 Temmuz’da atanmamış hesapların arşive erişimini kesen bir düzeltme yayımladı. Şirket o sırada bir hesabın arşivdeki verilerin bir kısmına eriştiğini bilmiyordu.

DigiCert’e göre arşive yetkisiz erişildiğinden ilk kez 12 Ekim’de şüphelenildi ve 19 Ekim’de yetkisiz erişim doğrulandı. Kayıtlara göre erişim 27 Haziran ile 2 Temmuz 2026 arasında oldu. Şirket, olayın başta bir veri erişimi olayı olarak değil, bir hesap açma sorunu olarak ele alındığını raporda “iyi gitmeyen” noktalar arasında sayıyor.

Erişilen bilgiler

DigiCert’e göre erişilen verilerin çoğu müşterilerin iş iletişim bilgileri: adlar, iş e-posta adresleri, telefon numaraları ve iş adresleri. Müşteri hesaplarının küçük bir kısmında ise müşterinin verdiği ehliyet, pasaport, fatura ya da ad ve adres içeren başka bir belge de vardı. Şirkete göre erişim salt okunurdu, kayıt yazılamıyor, doğrulama onaylanamıyor ve sertifika verilemiyordu. Sertifika otoritesi sistemleri ayrı ağ bölümlerinde çalışıyor ve kayıt incelemesinde bu hesapla ilişkili bir doğrulama, sertifika verme ya da iptal işlemi görülmedi.

DigiCert’e göre sertifika hizmetleri, CertCentral ve DigiCert ONE etkilenmedi, müşteri giriş bilgileri ve DigiCert’in verdiği sertifikalar güvenli ve geçerli. Müşterilerin etkin sertifikaları ve DigiCert hizmetlerini kullanmaya devam etmeleri için bir şey yapmaları gerekmiyor. Şirket raporda kaç kişinin ya da kaç müşteri hesabının etkilendiğini açıklamadı. 5 Kasım’da kayda yorum yazan bir kullanıcı, açığa çıkanın abone doğrulama bilgileri olup olmadığını doğrulamasını ve etkilenen veri setiyle ilgili sayıları vermesini istedi.

Alınan önlemler

Rapora göre DigiCert sistemin bütün kullanıcılarının parolalarını sıfırladı, kendi kendine hesap açma özelliğini bütün iş sistemi kopyalarında kapattı, dışarıdan erişilebilen kalan adresleri iç ağa taşıdı, dosya erişimi ve istek hacmi için uyarılar ekledi ve iç araçların ağ erişimindeki her değişikliğin güvenlik onayından geçmesini zorunlu hale getirdi. Şirket iki önlemi 6 Kasım’a kadar tamamlamayı planlıyor: hiçbir iş sistemi sunucusunun dışarıdan erişilebilir olmadığının iç denetimle doğrulanması ve beklenmeyen hesap açılışları ile yetki değişiklikleri için uyarıların son kez gözden geçirilmesi.