2026-11-05
DigiCertが顧客情報漏洩を確認、セキュリティ設定ミスが原因
DigiCertは、セキュリティ設定ミスにより顧客の個人情報が漏洩したことを確認しました。このインシデントは、2025年2月にインフラ移行が行われた際に発生し、内部ビジネスシステムがインターネットに公開されました。漏洩した情報には、ビジネスの連絡先情報や一部の身分証明書が含まれていますが、証明書発行サービスには影響がありませんでした。DigiCertは、問題の発見から修正までの経緯を詳細に報告しており、今後の監視体制の強化を図る方針です。
メトリクス
このニュースのスケール度合い
5.5
/10
インパクト
6.5
/10
予想外またはユニーク度
3.5
/10
脅威に備える準備が必要な期間が時間的にどれだけ近いか
6.5
/10
このニュースで行動が起きる／起こすべき度合い
5.5
/10
主なポイント
- ✓ DigiCertは、セキュリティ設定ミスにより顧客情報が漏洩したことを確認しました。
- ✓ 漏洩した情報には、ビジネスの連絡先や身分証明書が含まれていますが、証明書発行サービスには影響がありませんでした。
社会的影響
- ! このインシデントは、顧客のプライバシーに対する信頼を損なう可能性があります。
- ! 企業は、セキュリティ設定の重要性を再認識し、適切な監視体制を整える必要があります。
編集長の意見
DigiCertのデータ漏洩事件は、クラウド環境におけるセキュリティ設定の重要性を再確認させるものです。特に、インフラの移行時には、従来のネットワーク制限だけでは不十分であり、個々のエンドポイントに対する適切な権限管理が求められます。この事件では、自己登録機能が適切に管理されていなかったために、非従業員アカウントがデータにアクセスできる状態となりました。これは、企業がセキュリティレビューを怠った結果であり、今後の課題として、移行時のセキュリティチェックリストの整備や、アカウント活動の監視強化が挙げられます。また、顧客情報の漏洩は、企業の信頼性に直結するため、迅速な対応と透明性のある報告が求められます。DigiCertは、自己登録機能の無効化や、残りのエンドポイントをプライベートIPのロードバランサーの背後に移動させるなどの対策を講じていますが、これに加えて、定期的なセキュリティ監査や従業員への教育も重要です。企業は、セキュリティインシデントが発生した際の対応策を事前に策定し、従業員に周知徹底することが必要です。
背景情報
- i DigiCertのインシデントは、2025年2月にインフラ移行が行われた際に発生しました。この移行により、内部システムがVPN制限のあるネットワークから外部に公開されることになりました。これにより、自己登録エンドポイントが露出し、適切な認証が行われないままアカウントが作成される事態が発生しました。
- i DigiCertは、従業員が多要素認証を使用していたものの、露出した登録フローではアプリケーションの割り当てがないアカウントが作成され、これらのアカウントはデフォルトの読み取り専用権限を持っていました。このため、アーカイブされた顧客記録にアクセスできる状態となっていました。