Adatszivárgás a DigiCertnél: ügyféladatok és személyi okmányok szivárogtak ki

A világ egyik legnagyobb és legmegbízhatóbbnak tartott tanúsító hatósága (Certificate Authority – CA), a DigiCert adatvédelmi incidenst jelentett be . A támadók a vállalat egyik belső üzleti archiváló rendszeréhez fértek hozzá, amely az ügyfelek által a szervezeti hitelesítés során benyújtott dokumentumokat és kapcsolattartási információkat tárolta .

Bár a kriptográfiai kulcsok, a tanúsítványkiadási infrastruktúra és az ügyfélfiókok bejelentkezési jelszavai biztonságban maradtak, az incidens komoly aggodalmat keltett az IT-biztonsági szakmában . A kiszivárgott adatok között ugyanis nemcsak céges elérhetőségek, hanem egyes ügyfélképviselők hivatalos személyazonosító okmányai – útlevelek, jogosítványok és közüzemi számlák – is szerepeltek .

A történtek hátterét a DigiCert a Mozilla közösségi hibakövetőjén (Bugzilla) közzétett részletes elemzésben tárta a nyilvánosság elé, mivel a nagy böngészőgyártók (Mozilla, Google Chrome, Microsoft, Apple) szigorú szabályzata kötelezővé teszi az ilyen jellegű események transzparens bejelentését .

A konfigurációs hiba és az illetéktelen hozzáférés menete

A vizsgálati jelentés szerint a biztonsági rés gyökere egy több mint másfél évvel ezelőtti felhős infrastruktúra-átalakításra vezethető vissza .

Esemény dátuma	Biztonsági esemény	Technikai részletek és okok
2025. február 4.	Védelmi vonal elvesztése	Egy szervermigráció során a belső archívumot áthelyezték egy másik rendelkezésre állási zónába, és véletlenül kikerült a belső VPN-nel védett hálózati szegmensből .
2025. február – 2026. június	Érintetlen kitettség	A rendszer több mint 16 hónapon keresztül közvetlenül elérhető volt a nyilvános internetről anélkül, hogy a védelmi riasztók jeleztek volna .
2026. június 18–21.	Első észlelés és hibajelzés	A mérnökök külső fiókokat találtak, majd a hibavadász programon (Bug Bounty) keresztül bejelentés érkezett egy önregisztrációs kiskapuról .
2026. június 27. – július 2.	Illetéktelen adathozzáférés	A jogosulatlanul regisztrált külső fiókkal a támadó olvasási jogosultságot szerzett és adatokat töltött le az archívumból .
2026. július 2.	Technikai javítás (Patch)	A DigiCert WAF-szabályokkal lezárta a külső regisztrációt és felszámolta a jogosultsági hibát .
2026. október 19.	Szivárgás tényleges beismerése	A naplófájlok későbbi mélyelemzése feltárta, hogy a fiókot valóban adatlehívásra használták, nem pusztán létrehozták .

A DigiCert elismerte, hogy az esetet eredetileg csupán jogosulatlan fiókkészítési hibaként könyvelte el, és abból a téves feltételezésből indult ki, hogy alkalmazáshoz nem rendelt fiókokkal nem lehet adatot olvasni . Csaknem négy hónappal később derült fény arra, hogy a támadó az engedélyezési hibát kihasználva sikeresen hozzáfért a mentett fájlokhoz .

Milyen adatokat érint a szivárgás és mekkora a kockázat?

A tanúsító hatóság hangsúlyozta, hogy a közvetlen tanúsítványkezelő rendszerek (CertCentral, DigiCert ONE) és az érvényes tanúsítványok nem érintettek, a támadó nem tudott adatokat módosítani vagy tanúsítványt jóváhagyni . Az ellopott adatkör azonban súlyos személyes és vállalati visszaélésekre adhat lehetőséget .

Adattípus	Érintettek köre	Lehetséges biztonsági következmény
Vállalati kapcsolattartási adatok	Ügyfelek széles köre	Név, üzleti e-mail, céges cím és telefonszám: célzott adathalász és BEC (Business Email Compromise) támadások alapja lehet .
Személyazonosító okmányok	Kisebbségi ügyfélkör	Útlevél-, jogosítványmásolatok és közüzemi számlák: személyazonosság-lopás (Identity Theft), ami jelszócserével nem orvosolható .
Tanúsítvány-jóváhagyási iratok	Szervezeti tanúsítványt (OV/EV) igénylők	Cégképviseleti jogosultságot igazoló dokumentumok illegális birtoklása .

Európai és hazai szempontból különösen aggályos az incidens felderítésének késlekedése. Az általános adatvédelmi rendelet (GDPR) előírja, hogy az adatkezelőnek indokolatlan késedelem nélkül, legkésőbb a tudomásszerzéstől számított 72 órán belül bejelentést kell tennie a felügyeleti hatóságnál. A júniusi technikai javítás és az októberi tényleges adatlopás-igazolás közötti négy hónapos rés hatósági vizsgálatokat vonhat maga után .

Mit jelent ez a gyakorlatban?

Az eset ékes példája annak, hogy még a legmagasabb szintű IT-biztonsági cégek is sebezhetővé válnak, ha az üzemeltetés és a biztonsági ellenőrzés elválik egymástól .

Biztonsági tanulság	Mi ment félre a DigiCertnél?	Mi az iparági bevált gyakorlat?
Változáskezelés (Change Management)	A szervermigrációt egyszerű infrastruktúra-módosításként kezelték, így nem futott le a szigorúbb biztonsági jóváhagyási folyamat .	Minden felhős áthelyezést és zónamódosítást kötelező biztonsági felülvizsgálathoz és tűzfal-ellenőrzéshez kötni.
Alapértelmezett jogosultságok elve	Egy újonnan regisztrált, hozzárendelés nélküli fiók alapértelmezetten olvasási jogot kapott a belső archívumhoz .	Zero Trust és a legkisebb jogosultság elve (Least Privilege): szerepkör hiányában mindennemű adatelérést tiltani kell.
Incidens-besorolás pontossága	A szokatlan fióktevékenységet kezdetben regisztrációs anomáliaként, nem pedig potenciális adatlopásként értékelték .	Gyanús fióktevékenység észlelésekor azonnal részletes naplóauditot és adathozzáférési forenzikus vizsgálatot kell indítani.

Tennivalók

A DigiCert-szolgáltatásokat használó hazai vállalatoknak és rendszergazdáknak érdemes megtenniük a szükséges óvintézkedéseket a kockázatok minimalizálása érdekében.

Lépés	Érintett terület	Teendő
1. Értesítések ellenőrzése	Céges e-mailek	Ellenőrizzük a DigiCert hivatalos értesítő leveleit, hogy cégünk kapcsolattartója vagy beküldött dokumentumai szerepelnek-e a szivárgásban .
2. Adathalászat elleni felkészülés	Munkatársak tudatossága	Figyelmeztessük az IT- és beszerzési vezetőket a DigiCert nevében érkező hamis tanúsítvány-megújítási vagy adategyeztetési megkeresésekre .
3. Cégképviseleti okmányok kezelése	Kockázatelemzés	Ha igazoltan kiszivárgott valamelyik vezető útlevél- vagy jogosítványmásolata, mérlegelni kell az okmány cseréjét és az incidens belső dokumentálását .
4. SSL/TLS tanúsítványok megnyugtatása	Üzemeltetés	A meglévő tanúsítványokat nem szükséges visszavonni (revoke) vagy újragenerálni, mert a privát kulcsok nem kerültek veszélybe .

Összefoglalva

A DigiCert adatvédelmi incidense arra figyelmeztet, hogy a felhős rendszerek költöztetése során elkövetett apró konfigurációs hibák hónapokra láthatatlanná válhatnak a nyilvános hálózaton . Bár a digitális tanúsítványok hitelessége és a titkosítás nem sérült, a validációhoz beküldött személyi okmányok kikerülése tartós kockázatot jelent az érintett szervezeteknek és képviselőiknek .