DigiCert เผยเหตุข้อมูลรั่วไหล กระทบข้อมูลติดต่อลูกค้าธุรกิจ

DigiCert ได้เปิดเผยถึงเหตุการณ์ข้อมูลรั่วไหลที่ส่งผลกระทบต่อข้อมูลการติดต่อของลูกค้าธุรกิจ ซึ่งรวมถึงชื่อและที่อยู่อีเมล

เหตุการณ์นี้เกี่ยวข้องกับระบบธุรกิจภายในที่ใช้สำหรับจัดเก็บข้อมูลลูกค้าแบบถาวร (archiving) ซึ่งถูกย้ายไปยังส่วนของเครือข่ายอื่นในเดือนกุมภาพันธ์ 2025 แต่เกิดความผิดพลาดส่งผลให้มีการเชื่อมต่อกับอินเทอร์เน็ตโดยไม่ตั้งใจ

ผู้โจมตีได้อาศัยช่องโหว่จากฟีเจอร์ลงทะเบียนด้วยตนเองในระบบจัดการบัญชี ซึ่งถูกสร้างขึ้นเพื่อวัตถุประสงค์อื่นและไม่ได้เปิดใช้งาน MFA ในการสร้างบัญชีแบบอ่านอย่างเดียว (read-only) ทำให้สามารถเข้าถึงข้อมูลที่จัดเก็บไว้ได้ในช่วงระหว่างวันที่ 27 มิถุนายน ถึง 2 กรกฎาคม

DigiCert ดำเนินการระงับบัญชีที่ไม่ได้รับอนุญาตดังกล่าวทันทีในวันที่ 2 กรกฎาคม และจากการตรวจสอบเชิงลึกในเดือนตุลาคมพบว่า บัญชีนี้ถูกใช้เพื่อเข้าถึงข้อมูลการติดต่อของลูกค้าที่จัดเก็บไว้ ซึ่งประกอบด้วยชื่อ ที่อยู่อีเมล เบอร์โทรศัพท์ และที่อยู่ทางธุรกิจ

นอกจากนี้ ในบางกรณีเอกสารประกอบสำคัญที่ลูกค้าเคยให้ไว้ เช่น ใบอนุญาตขับขี่ หนังสือเดินทาง ใบแจ้งหนี้ค่าสาธารณูปโภค และเอกสารอื่นๆ ที่ระบุชื่อและที่อยู่ ก็ได้รับผลกระทบจากการเข้าถึงครั้งนี้ด้วยเช่นกัน

"การเข้าถึงดังกล่าวไม่สามารถเขียนข้อมูล ทำหน้าที่เป็นผู้อนุมัติการตรวจสอบ (validation approver) หรือออกใบรับรอง (certificate) ได้" DigiCert ระบุ "ระบบ CA ทำงานอยู่บนส่วนเครือข่ายที่ปลอดภัยแยกต่างหากและไม่ได้รับผลกระทบจากการเข้าถึงจากภายนอกครั้งนี้"

ตามข้อมูลจากบริษัท เหตุการณ์นี้ได้รับการตรวจสอบและแก้ไขในเบื้องต้นว่าเป็นเพียงเหตุการณ์การสร้างบัญชีโดยไม่ได้รับอนุญาต อย่างไรก็ตาม ในวันที่ 12 ตุลาคม บริษัทเริ่มสงสัยว่าอาจมีการเข้าถึงข้อมูลที่จัดเก็บไว้จริง จึงได้เริ่มดำเนินการสอบสวนอย่างละเอียด

ตั้งแต่ช่วงกลางเดือนตุลาคมเป็นต้นมา DigiCert ได้ดำเนินการตรวจสอบและแจ้งเตือนผู้ที่เกี่ยวข้อง พร้อมตรวจสอบและลบบัญชีแปลกปลอมที่ยังหลงเหลืออยู่ รวมทั้งรีเซ็ตรหัสผ่านสำหรับผู้ใช้ระบบธุรกิจทั้งหมด ปิดใช้งานฟีเจอร์ลงทะเบียนด้วยตนเอง และบังคับใช้นโยบายการกำหนดสิทธิ์อย่างเคร่งครัด

ขณะนี้ DigiCert ยังไม่ได้ระบุจำนวนลูกค้าที่ได้รับผลกระทบอย่างแน่ชัด โดยทาง SecurityWeek ได้ส่งอีเมลเพื่อสอบถามข้อมูลเพิ่มเติมจากบริษัทแล้ว และจะดำเนินการอัปเดตทันทีหากได้รับการตอบกลับ