Certificaatuitgever DigiCert maakte per ongeluk een intern systeem openbaar toegankelijk. Daardoor konden onbevoegden bij klantgegevens komen. Het zou voornamelijk gaan om zakelijke contactgegevens, maar in sommige gevallen ook om gevoelige data, zoals persoonsgegevens en kopieën van rijbewijzen en paspoorten.
In een rapport op Bugzilla schrijft DigiCert dat er bij de migratie van zijn zakelijke archiefsysteem fouten zijn gemaakt. Hierdoor konden mensen van buiten de organisatie onbedoeld toegang krijgen tot dit systeem.
Het ging om een omgeving die beveiligd was met een vpn en een accountmanagementsysteem, waarbij accounts aan gebruikers gekoppeld moeten zijn om in te kunnen loggen. De migratie leidde ertoe dat een bepaalde accountfunctie onbedoeld ook voor dat systeem werkte. Hierdoor konden gebruikers van buitenaf een account aanmaken en zonder tweefactorauthenticatie inloggen in het interne systeem.
In eerste instantie dacht DigiCert dat het systeem in theorie openbaar toegankelijk was, maar dat toegang in de praktijk niet mogelijk was door de accountbeveiliging. Nadat bleek dat er ook in het accountbeveiligingssysteem een fout zat, ontdekte het bedrijf dat er actief misbruik van die kwetsbaarheid is gemaakt.
Een onbekende partij of gebruiker kreeg hierdoor toegang tot zakelijke contactgegevens van klanten van DigiCert. In sommige gevallen hebben klanten ook andere gegevens moeten uploaden, zoals persoonlijke identiteitsbewijzen, facturen en documenten met namen en adressen. Het is onduidelijk hoeveel mensen hierdoor zijn getroffen.
DigiCert is een certificaatautoriteit die digitale certificaten uitgeeft voor verbindingen via bijvoorbeeld Transport Layer Security en Secure Sockets Layer. Hiermee kunnen clients controleren of websites of servers legitiem zijn, waarna ze een beveiligde Https-verbinding kunnen maken. DigiCert verifieert die identiteit en geeft een certificaat uit. Volgens het bedrijf zijn er bij het datalek geen onjuiste certificaten uitgegeven.
Source: Tweakers.net