要点
- Web サイトの証明書を発行する DigiCert で、顧客の本人確認用の情報をためた社内システムに、外部からの不正なアクセスがあった。
- 漏れた情報は、名前・仕事用のメール・電話・住所が中心だ。一部の顧客では、運転免許証やパスポートなどの書類も含まれる。
- DigiCert によると、証明書の発行・変更・失効は起きていない。証明書そのものの信頼は揺らいでいないとされる。
何が起きたか
DigiCert は、Web サイトの安全を示す「証明書」を発行する会社（認証局）だ。証明書を出すとき、申込者が本物の担当者かを確かめるため、書類などを預かる。今回の事故は、その情報をためた社内システムで起きた。
DigiCert が Mozilla のフォーラムに出した報告によると、経緯はこうだ。
- 2025年2月4日：システムの移行の際、社内の閉じた網から、外から届く場所に移った。安全面の確認は通っていなかった。
- 2026年6月21日：DigiCert の言う「managed security program」から、外部経由でアカウントを作れる可能性があるとの報告を受けた。
- 2026年6月27日〜7月2日：この間に、データへのアクセスがあった。7月2日に修正を適用した。
- 2026年10月19日：DigiCert が、報告すべき事案だと判断した。
原因は、外から自由にアカウントを作れる入口が開いたままだったことだ。しかも、作ったアカウントは担当の業務がなくてもデータを読めた。DigiCert の報告では、この入口で登録したアカウントには、通常求めている MFA（パスワードのほかにスマホでも本人確認する仕組み）が適用されていなかった。DigiCert は、移行を「安全面の変更」として扱わず、アカウント作成の監視も足りなかったと認めている。
漏れた情報は、ほとんどが顧客の名前、仕事用のメール、電話番号、住所だ。「ごく一部」の顧客では、免許証・パスポート・公共料金の請求書など、名前と住所が分かる書類も含まれた。
影響の大きさは、DigiCert が示した範囲では次のとおりだ。
- 書き込みや、本人確認の承認、証明書の発行はできなかった。
- 証明書を発行するシステムは別の網にあり、影響を受けなかった。
- 影響を受けた顧客の数は公表されていない。DigiCert は「保管データのごく一部」としている。
- DigiCert の広報は、情報が悪用された証拠は把握していないと述べた（The Record の報道による）。
日本の利用者への影響
日本の組織が影響を受けたかどうかは、報告に書かれておらず、分からない。自分の組織が含まれるかは、DigiCert からの連絡で確かめるほかない。DigiCert の証明書を使っているなら、念のため状況を確かめておきたい。
今すぐやること
- DigiCert から通知が来ていないか、契約窓口の受信箱を確認する。届いた通知は、メールのリンクでなく公式サイトから確かめる。
- 担当者の名前や会社名を使った、DigiCert を名乗るメール・電話に警戒する。連絡先が漏れた可能性があるためだ。
- 免許証やパスポートの書類を出した覚えがあるなら、その人に伝える。なりすましの勧誘や、書類を使った不正に注意する。
- DigiCert の管理画面のパスワードを見直し、MFA を有効にする。DigiCert は、顧客のログイン情報は盗まれていないとしている。念のための確認だ。
- 使用中の証明書を、慌てて替える必要はない。DigiCert は「有効な証明書と今後の利用について、顧客側の対応は不要」としている。
背景
認証局は、ネットの信頼を支える土台だ。そのため、世界の主要なブラウザ会社に事故を報告する決まりがある。今回の報告もその一つだ。
DigiCert は、2024年にも、ドメイン確認の不具合で多数の証明書を失効させた。2026年4月には、サポート窓口を通じた別の不正があったと報じられている（未確認）。今回の事案とは別件だ。
今回の事故で、証明書自体は安全だとされる。だが、本人確認の書類は、なりすましに使われかねない。そこが実害の中心だ。なお、顧客への個別の通知が行われたかは、報告からは分からない。
技術者向けの詳細
- 報告：Mozilla Bugzilla 2084460「DigiCert: Unauthorized access to business system」（CCADB ID A000021）。
- 原因1：移行で VPN 制限の区画から外部到達可能な区画へ移った際、セキュリティレビューがなかった。
- 原因2：アカウント作成とリクエスト量の監視・警報が不足していた。
- 原因3：認可の設計が自己登録を想定せず、アプリ未割当のアカウントでも読み取れた。MFA はアプリに割り当てられたアカウントにだけ有効で、この登録経路のアカウントには適用されていなかった。
- 対処：WAF で登録エンドポイントを遮断（6月18日に導入）、7月2日に認可パッチ（未割当は HTTP 401）、7月9日に VPN 限定。
- 10月に全ユーザーのパスワードをリセット、自己登録を無効化、残りの入口を内部ホスト名へ移行。
- 外部ベンダーのペンテストを2026年8月31日に完了。ネットワーク変更にセキュリティ承認を必須化。
- アクセス期間は2026年6月27日〜7月2日。10月12日に、保管データへの不正アクセスの疑いを DigiCert が持った。
- 報告内の対策表では項目12・13が投稿時点で「Ongoing」のままだが、後のコメントで DigiCert は両方の完了を報告している。数や範囲の質問には、まだ答えがない。
