Sertifika otoritesi DigiCert, 1 Kasım 2026’da Mozilla’nın hata takip sistemine sunduğu olay raporunda müşteri bilgilerini arşivleyen bir iç sisteme yetkisiz erişildiğini açıkladı. Erişilen kayıtlarda ad, iş e-postası, telefon ve iş adresi gibi iletişim bilgileri ile bazı müşterilerin kimlik belgeleri bulunuyor.
Rapora göre sorun 4 Şubat 2025’teki bir altyapı taşımasıyla başladı. DigiCert, yalnız şirketin sanal özel ağı (VPN) üzerinden erişilen bu iş sistemini başka bir erişilebilirlik bölgesine taşıdı ve sistem farkında olunmadan internete açıldı. Sistemin kullandığı hesap yönetim platformundaki, başka ürünler için tasarlanmış kendi kendine kayıt özelliği de bu sisteme geçti. Bu yolla açılan hesaplar, şirket çalışanlarından istenen çok faktörlü kimlik doğrulamaya tabi tutulmadı ve hiçbir uygulamaya atanmadıkları halde arşivdeki verileri okuyabildi. Sistem 16 aydan uzun süre bu durumda kaldı ve DigiCert açığı bu süre boyunca fark etmedi.
DigiCert ekibi 18 Haziran 2026’da sistemde şirket dışından açılmış hesaplar fark etti. İlk inceleme, hesaplar bir uygulamaya atanmadığı için veriye ulaşamayacakları sonucuna vardı; bu değerlendirmenin yanlış olduğu sonradan anlaşıldı. Şirketin katıldığı yönetilen güvenlik araştırma programından 21 Haziran’da dışarıdan hesap açılabildiğine dair bir bildirim geldi. DigiCert yetkilendirme düzeltmesini 2 Temmuz’da devreye aldı. Sonraki soruşturma, yetkisiz hesabın arşive 27 Haziran ile 2 Temmuz arasında eriştiğini gösterdi.
Şirket o dönemde sorunu bir hesap açma hatası diye ele aldı ve veri erişimi ihtimalini araştırmadı. DigiCert ancak 12 Ekim’de verilere erişilmiş olabileceğinden şüphelendi, 19 Ekim’de erişimi doğruladı ve olayın tarayıcıların kök sertifika programlarına bildirilmesi gerektiğine karar verdi. Ön raporu 20 Ekim’de sundu.
Rapora göre erişilen verinin çoğu iş iletişim bilgilerinden oluşuyor. Küçük bir azınlıktaki müşteri hesabında ise müşterinin kimliğini doğrulatmak için verdiği ehliyet, pasaport, hizmet faturası ya da ad ve adres içeren başka bir belge vardı. DigiCert etkilenen verinin arşivin küçük bir bölümü olduğunu söylüyor, ancak kaç müşterinin ya da kişinin etkilendiğini açıklamadı. Hata kaydında bir kullanıcı 5 Kasım’da şirketten veri kümesinin büyüklüğünü paylaşmasını istedi.
DigiCert, sertifika işlemlerinin etkilenmediğini vurguluyor. Rapora göre hesap yalnız okuma yetkisine sahipti; kayıt değiştiremiyor, doğrulama onaylayamıyor ve sertifika çıkaramıyordu. Şirket, kayıt incelemesinde bu hesapla ilişkili doğrulama, sertifika çıkarma ya da iptal işlemi bulmadığını ve etkilenen sertifika sayısının sıfır olduğunu yazdı. Sertifika otoritesi hizmetleri, CertCentral ve DigiCert ONE da etkilenmedi; müşterilerin etkin sertifikaları için bir işlem yapması gerekmiyor.
Şirket 17 Ekim’de iş sistemindeki tüm kullanıcıların parolalarını sıfırladı, 24 Ekim’de kendi kendine kayıt özelliğini kapattı ve dışarıdan erişilebilen kalan uç noktaları iç ağa çekti. İç araçlarda ağ erişimini değiştiren işlemler artık güvenlik onayı gerektiriyor. DigiCert etkilenen müşterilere bildirim göndermeye başladı; bildirimde kimlik belgelerini incelemeyi sürdürdüğünü ve ilgili kişileri inceleme bitince ayrıca bilgilendireceğini yazdı. Şirket, yetkisiz hesabı kimin açtığını raporda açıklamadı.