答え公開済み23 ソース
DigiCertの内部システムで顧客データに不正アクセス
2025年2月のサーバー移行で、VPN経由に限られていたDigiCertの内部システムがインターネットから接続可能になりました。 自己登録アカウントの権限確認に不備があり、2026年6月27日から7月2日の間に、保存された顧客情報の一部が閲覧されました。
公開者GPT-6 Luna で編集GPT Image 2 で画像を生成
研究の答え
重要なポイント
- 2025年2月のサーバー移行で、VPN経由に限られていたDigiCertの内部システムがインターネットから接続可能になりました。
- 自己登録アカウントの権限確認に不備があり、2026年6月27日から7月2日の間に、保存された顧客情報の一部が閲覧されました。
- 連絡先情報のほか、一部の記録には身分証明書も含まれていました。DigiCertは、証明書発行サービスや発行済み証明書は影響を受けていないとしています。
AI プロンプト
openai.comCreate a landscape editorial hero image for this Studio Global article: What does DigiCert’s customer-data breach disclosure, reported on November 6, 2026, reveal about the February 4, 2025 server migration that. Article summary: DigiCert’s disclosure describes a customer-data breach caused by an accidentally internet-exposed archive and an authorization flaw—not a confirmed compromise of its certificate-issuance systems.[1][3] The available evid. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, click
DigiCertは、社内向け業務システムに保存していた顧客情報の一部が、不正に閲覧されたと明らかにしました。発端は2025年2月のサーバー移行です。移行によって、従来はVPN（仮想専用線）経由でしか接続できなかったシステムが、意図せずインターネットから到達可能になりました。さらに、アカウントの権限確認に不備があり、外部で作成されたアカウントからアーカイブ情報を読める状態でした。DigiCertは、証明書を発行するサービス自体は侵害されていないと説明しています。1
11
24
何が起きたのか
対象となったのは、顧客情報を保管する内部業務システムです。ネットワーク移行の際にVPNによるアクセス制限が外れ、システムにあった自己登録機能から外部のアカウントを作成できる状態になりました。自己登録はアーカイブへのアクセスを許可するための機能ではありませんでしたが、アプリケーションの割り当てがないアカウントでも、権限確認の不備により保存データを閲覧できました。3
5
11
報道によると、従業員のアカウントとは異なり、自己登録アカウントには多要素認証（MFA）が求められていませんでした。ただし、問題として報じられているのは認可、つまり「誰が何を閲覧できるか」という制御の不備です。攻撃者がMFAを突破して証明書発行システムに侵入した、という説明ではありません。11
25
24
発覚からデータアクセスの確認まで
- 2025年2月： サーバー移行により、内部システムが外部から接続可能になりました。報道の年表では、変更日は2月4日とされています。
3
5
- 2026年6月18日： DigiCertの担当者が、社内のものではないアカウントを確認しました。当初は、アプリケーションの割り当てがないアカウントはデータを読めないと判断していました。報道によると、ウェブアプリケーションファイアウォール（WAF）で外部経由の新規アカウント作成も遮断されました。
26
- 6月21日： DigiCertの報告では、同社はシステムが意図せず外部から接続可能であることと、未割り当てのアカウントが作成されていたことを把握しました。報道では、この時期に研究者からの連絡もあったとされています。
18
22
24
- 6月27日〜7月2日： 後の調査で、この期間に未承認のアカウントがアーカイブ情報の一部へアクセスしていたことが確認されました。
1
- 7月2日： DigiCertは認可の不備を修正し、アカウント作成への対応と、アプリケーションが割り当てられていないアカウントによるアーカイブ閲覧の遮断を行いました。
- 10月19日： DigiCertは、アーカイブ情報への不正アクセスを確認し、報告対象の事案と判断しました。
外部から新しいアカウントを作れないようにすることと、すでに作られた未割り当てアカウントがデータを読めないようにすることは、別の問題でした。7月2日の修正はアクセス制御に対処しましたが、顧客データが実際に閲覧されたとDigiCertが確認したのは10月19日です。確認は、報告されたアクセス期間の終了から3か月以上後となりました。18
24
閲覧された可能性のある情報
アクセスされた記録の大半に含まれていたのは、氏名、業務用メールアドレス、電話番号、住所などの連絡先情報です。一部の記録には、パスポートや運転免許証、公共料金の請求書などの身分証明書類も含まれていました。顧客の担当者が本人確認のために提出した書類もあったとされています。1
12
24
影響を受けた顧客の総数は、入手できる報道では明らかにされていません。DigiCertは対象顧客への通知を始めていますが、最終的に何件の通知が送られたか、また流出した身分証明書の確認がどこまで進んだかは、提供された情報からは分かりません。6
7
影響を受けなかったとされるサービス
DigiCertは、認証局サービス、CertCentral、DigiCert ONE、顧客の認証情報、発行済み証明書は侵害されていないと説明しています。今回確認されたのは、内部業務システムに保存されていた顧客情報へのアクセスであり、証明書発行システムへの侵入が報告されたわけではありません。9
1
24
一方、利用可能な報道だけでは、すべての検証機能がどのような状態だったかや、一部の記事が触れている監査・アラート確認作業の詳細までは確認できません。証明書発行や一部のサービスに影響がなかったという説明から、それ以外の機能の状況まで推測することはできません。
なぜ確認に時間がかかったのか
初期調査では、社外のアカウントが存在することは確認されたものの、アプリケーションの割り当てがないアカウントは顧客データにアクセスできないと判断されました。しかし、実際には権限確認が不十分で、アーカイブを閲覧できる状態でした。5
24
確認できる経緯は、6月にアクセス上の問題が認識され、7月に修正が行われ、10月にデータへの不正アクセスが確定したという点です。調査の各段階で何が行われたのか、なぜ確認まで10月を要したのかを完全に説明できる情報は、提供された資料にはありません。影響を受けた顧客数や通知の完了状況、身分証明書類の確認状況も、現時点で明らかになっていません。6
24
Studio Global AI
研究を続けてください
このページにはソースに裏付けされた回答が含まれており、Studio Global 内で続行できます。
人々も尋ねます
「DigiCertの内部システムで顧客データに不正アクセス」の短い答えは何ですか?
2025年2月のサーバー移行で、VPN経由に限られていたDigiCertの内部システムがインターネットから接続可能になりました。
最初に検証する重要なポイントは何ですか?
2025年2月のサーバー移行で、VPN経由に限られていたDigiCertの内部システムがインターネットから接続可能になりました。 自己登録アカウントの権限確認に不備があり、2026年6月27日から7月2日の間に、保存された顧客情報の一部が閲覧されました。
次の実践では何をすればいいでしょうか？
連絡先情報のほか、一部の記録には身分証明書も含まれていました。DigiCertは、証明書発行サービスや発行済み証明書は影響を受けていないとしています。