DigiCert、顧客の本人確認書類に不正アクセス　6月27日〜7月2日

証明書大手のDigiCertはインシデント報告を公開し、不正に作成されたアカウントが2026年6月27日から7月2日までの間に、保存されていた顧客データへアクセスしていたと明らかにした。アクセスされたデータには、顧客のパスポートや運転免許証などの本人確認書類が含まれていた。dailysecu.comが報じた。

報告によると、DigiCertは2026年6月18日に社内業務システム上で自社に属さないアカウントを検知した。6月21日にはセキュリティ研究プログラムを通じて、外部ユーザーがアカウントを作成できるという脆弱性の報告が届いた。同社は7月2日に関連するセキュリティ対策を適用した。

その後、同社は2026年10月19日になり、当該アカウントが実際に顧客データへアクセスしていたことを確認した。漏えいしたデータには顧客の氏名、勤務先メールアドレス、電話番号、会社の住所が含まれる。

一方、CertCentral、DigiCert ONE、顧客のログイン情報、既に発行済みの証明書には影響がなく、証明書の失効や再発行は不要だとしている。同社は外部アカウントの自己登録を無効化し、社内システムへのネットワークアクセスを制限したほか、ユーザーのパスワードをリセットし、異常検知を強化した。

MozillaのBugzillaには2026年11月8日時点のコメントとして、侵害の正確な規模を開示するようDigiCertに求める書き込みがある。

経緯

2025年2月、DigiCertはVPN経由でしかアクセスできなかった社内業務システムを移設したが、設定の不備により16カ月以上にわたってインターネットから到達可能な状態になっていた。同社は2026年6月に不正なアカウントの存在を確認したものの、当初は実際に顧客データへアクセスされたかどうかを特定していなかった。