DigiCert ยอมรับว่าการย้ายเซิร์ฟเวอร์ที่ผิดพลาดทำให้ระบบภายในเปิดสู่สาธารณะอินเทอร์เน็ตนานกว่าหนึ่งปี ทำให้ผู้ไม่หวังดีสามารถเข้าถึงข้อมูลลูกค้าได้ รวมถึงเอกสารระบุตัวตนต่างๆ
การรั่วไหลนี้เกิดขึ้นตั้งแต่เดือนกุมภาพันธ์ 2025 เมื่อมีการย้ายระบบธุรกิจภายในไปยัง Availability Zone ใหม่ ซึ่งยังคงใช้แพลตฟอร์มจัดการบัญชีเดียวกับผลิตภัณฑ์ที่ให้บริการลูกค้า ทำให้ผู้โจมตีสามารถสร้างบัญชีและเข้าถึงข้อมูลได้โดยไม่มีการยืนยันตัวตนหลายปัจจัย
แม้ว่านักวิจัยด้านความปลอดภัยจะแจ้งเตือนเรื่องการสร้างบัญชีนี้ในอีกสามวันต่อมา แต่ DigiCert เพิ่งจะปิดช่องโหว่ดังกล่าวในเดือนกรกฎาคม ซึ่งทำให้การรั่วไหลดำเนินไปนานถึง 16 เดือน
DigiCert ระบุว่าข้อมูลที่ถูกเปิดเผยประกอบด้วยชื่อ อีเมลธุรกิจ เบอร์โทรศัพท์ และที่อยู่ธุรกิจ และกำลังตรวจสอบเอกสารระบุตัวตนเพื่อระบุตัวบุคคลที่เกี่ยวข้องต่อไป
DigiCert ระบุว่าการย้ายเซิร์ฟเวอร์ครั้งนี้ขาดการตรวจสอบความปลอดภัยที่เหมาะสม และการควบคุมการเข้าถึงก็ไม่สามารถป้องกันบัญชีที่ลงทะเบียนด้วยตนเองได้ แต่ขณะนี้ได้ปิดการลงทะเบียนด้วยตนเองและเพิ่มการตรวจสอบแล้ว
ศัพท์ที่ควรรู้
- Availability Zone – พื้นที่ให้บริการทางภูมิศาสตร์ที่แตกต่างกันของศูนย์ข้อมูล ซึ่งช่วยให้ระบบมีความพร้อมใช้งานสูง
- VPN-protected network – เครือข่ายที่ได้รับการป้องกันผ่าน Virtual Private Network ซึ่งเป็นอุโมงค์เข้ารหัสสำหรับการสื่อสารที่ปลอดภัย
- Multifactor authentication – การยืนยันตัวตนหลายปัจจัย ซึ่งต้องใช้มากกว่าหนึ่งรูปแบบในการพิสูจน์ตัวตน เช่น รหัสผ่านและโทรศัพท์มือถือ
- Self-registration feature – ฟีเจอร์ที่อนุญาตให้ผู้ใช้ใหม่ลงทะเบียนบัญชีด้วยตนเองโดยไม่ต้องผ่านเจ้าหน้าที่
ที่มา: The Register