DigiCert服务器迁移失误，客户身份信息暴露超16个月

DigiCert承认，一次搞砸的服务器迁移导致内部系统暴露在互联网上超过一年，期间有未经授权的用户访问了客户数据，包括护照、驾照及其他身份证明文件。

这家证书颁发机构已开始通知受影响的客户，但尚未披露具体有多少人的信息遭到泄露。

在The Register看到的一封邮件中，DigiCert确认泄露的信息包括姓名、企业邮箱地址、电话号码和企业地址。部分记录还可能包含护照、驾照、水电费账单或其他身份证明文件。

DigiCert在通知中告诉受影响者：“我们正在完成对身份证明文件的审查，以确定涉及的具体个人。”并补充说，审查完成后将通知相关人员。

DigiCert的事件报告将这一失误追溯到2025年2月，当时一个内部业务系统从受VPN保护的网络迁移到了另一个可用区。这一变更同时将该系统暴露在公共互联网上，而DigiCert在超过16个月的时间里竟毫无察觉。

该归档系统使用了与DigiCert面向客户产品相同的账户管理平台，其中包括一个本不应在内部系统上提供的自注册功能。这使得外部人员无需多因素认证即可创建账户，并且由于另一个权限漏洞，他们可以利用这些账户浏览归档的客户记录。

DigiCert于2026年6月18日发现了这些未经授权的账户，但起初认为它们无关紧要，因为这些账户并未绑定任何应用程序。三天后，一名安全研究员就账户创建问题发出警报，但直到7月2日DigiCert才将其关闭。

不幸的是，早已有人在此徘徊窥探。

直到10月12日，DigiCert才开始调查客户信息是否真的被访问过。10月19日，它确认一个未经授权的账户在6月27日至7月2日期间访问了一部分归档记录。

DigiCert将受影响的记录描述为其归档中的“一小部分”，但未披露有多少客户或个人受到此次泄露事件影响。截至发稿时，该公司未回应The Register的提问。

DigiCert的事后分析读来令人不安。服务器迁移没有经过适当的安全审查，监控未能发现可疑活动，访问控制对自注册账户也几乎不起作用。该公司此后已关闭自注册功能、收紧了网络访问权限，并增加了监控措施——这些措施若能早几个月到位或许就能派上用场。

该公司表示，证书颁发机构运营、CertCentral和DigiCert ONE未受影响，客户凭证和已签发的证书仍然安全。公司也未发现任何证据表明该未经授权的账户曾被用于签发、吊销或验证证书。

对于担心自己证书安全的人来说，这是个好消息；但对于那些向DigiCert提交过护照副本的人而言，情况就没那么乐观了。®