デジサート、社内システムが17カ月間ネットに無防備　パスポートなども閲覧可能に

　認証局のデジサート（DigiCert）は、顧客が本人確認のために提供した情報を保管する社内の業務システムに、外部から不正アクセスがあったと明らかにした。顧客の担当者の連絡先に加え、ごく一部の顧客は、パスポートや運転免許証などの書類も閲覧可能だったという。

　同社は、公開のバグ管理システムBugzillaで公表した。速報版は10月20日に出し、完全版は11月初めに公表した。

　同社の説明によると、この業務システムは顧客情報のアーカイブを保管する社内用のもので、本来はVPN内のネットワーク区画に置かれていた。2025年2月4日のインフラ移行で外部から到達できる区画へ移り、セキュリティレビューを経ないまま、公開状態になったという。2026年7月に修正するまで、約17カ月間この状態が続いた。

　このシステムが使うアカウント管理の仕組みには、別の用途向けの自己登録機能が含まれていた。この機能で作られたアカウントは多要素認証（MFA）の対象外で、既定では読み取り専用だったが、アーカイブ済みのデータは読めたという。

　不正アクセスがあった期間は2026年6月27日～7月2日。デジサートは7月2日に認可の修正パッチを適用し、アクセスを遮断した。ただ、当時はデータが読まれたとは把握しておらず、10月12日にデータへのアクセスを疑って調査を始め、10月19日に報告対象の事象と判定した。

　露出したデータは、主に氏名、業務用メールアドレス、電話番号、住所。ごく一部の顧客アカウントには、パスポート、運転免許証、公共料金の請求書などの書類が含まれていた。影響を受けた顧客数は非公表。アクセスは読み取りに限られ、証明書の発行・検証・失効の操作も確認されなかったという。

　デジサートは、認証局のシステムやCertCentral、DigiCert ONEは影響を受けず、顧客のログイン情報や発行済みの証明書も安全で、証明書の入れ替えは不要としている。

　対応として、10月24日に自己登録機能を無効化し、外部から到達できる入り口を社内向けに移した。10月30日には、権限を最小限に絞る見直しも終えた。外部から到達できる経路の監査と、アラートの最終見直しの2項目は、11月6日が期限という。