สรุปสั้น

บริษัท DigiCert คือ ผู้ออกใบรับรองดิจิทัล (certificate authority) รายใหญ่ของโลก ที่ออกใบรับรอง TLS และ code signing ให้เว็บไซต์และซอฟต์แวร์จำนวนมาก DigiCert ยืนยันในรายงานเหตุการณ์ที่ยื่นต่อ Mozilla ว่ามีผู้ไม่ได้รับอนุญาตเข้าถึงระบบธุรกิจภายในที่เก็บข้อมูลลูกค้าแบบเก่า (archived) ต้นเหตุมาจากการย้ายโครงสร้างพื้นฐานเมื่อ 4 กุมภาพันธ์ 2568 ที่ย้ายระบบนี้จากเครือข่ายที่ต้องผ่าน VPN ไปอยู่ในโซนที่เข้าถึงจากภายนอกได้ และทำให้หน้าสมัครบัญชีด้วยตัวเองที่ติดมากับแพลตฟอร์มจัดการบัญชีเปิดสู่อินเทอร์เน็ตโดยไม่ตั้งใจ บัญชีที่สมัครผ่านช่องทางนี้ไม่ต้องใช้ MFA และได้สิทธิ์อ่านอย่างเดียวตามค่าเริ่มต้น ซึ่งพอให้เปิดดูข้อมูลลูกค้าที่เก็บไว้ได้

ข้อมูลถูกเข้าถึงระหว่าง 27 มิถุนายนถึง 2 กรกฎาคม 2569 ส่วนใหญ่เป็นชื่อ อีเมลธุรกิจ เบอร์โทร และที่อยู่ธุรกิจ แต่บัญชีส่วนน้อยมีเอกสารแนบอย่างสำเนาพาสปอร์ต ใบขับขี่ หรือใบแจ้งค่าสาธารณูปโภค DigiCert ระบุว่าบริการออกใบรับรอง เช่น CertCentral และ DigiCert ONE รวมถึง credential ล็อกอินของลูกค้าและใบรับรองที่ออกแล้ว ไม่ได้รับผลกระทบ และไม่ต้องเพิกถอนใบรับรองใด ลูกค้าควรระวังอีเมลหรือการติดต่อที่อ้างชื่อ DigiCert ซึ่งอาจใช้ข้อมูลที่หลุดทำให้ดูน่าเชื่อ

รายละเอียดข่าว

เว็บไซต์ GBHackers รายงานเมื่อวันที่ 5 พฤศจิกายน 2569 ว่ารายงานเหตุการณ์ของ DigiCert เรียงไทม์ไลน์ไว้ดังนี้ วันที่ 4 กุมภาพันธ์ 2568 การย้ายโครงสร้างทำให้ระบบเปิดสู่ภายนอก วันที่ 18 มิถุนายน 2569 ทีมภายในพบบัญชีที่ไม่ใช่พนักงาน แต่สรุปตอนแรกว่าบัญชีที่ไม่ได้ผูกกับแอปพลิเคชันเข้าถึงข้อมูลไม่ได้ จากนั้นใช้ web application firewall บล็อกการสมัครใหม่ผ่านเส้นทางภายนอก วันที่ 21 มิถุนายน โครงการวิจัยความปลอดภัยที่ DigiCert ว่าจ้างรายงานปัญหาการสมัครบัญชีเข้ามา ทำให้เริ่มตรวจสอบเชิงวิศวกรรม ต่อมาการสอบสวนพบว่าการเข้าถึงข้อมูลจริงเกิดระหว่าง 27 มิถุนายนถึง 2 กรกฎาคม วันที่ 2 กรกฎาคม DigiCert ออกแพตช์ที่ปฏิเสธบัญชีที่ไม่ผูกแอปพลิเคชันด้วย HTTP 401 แต่ยังมองเหตุนี้เป็นปัญหาการสร้างบัญชี ไม่ใช่การเข้าถึงข้อมูล จนวันที่ 19 ตุลาคม DigiCert จึงยืนยันว่าเป็นการรั่วไหลที่ต้องรายงาน

DigiCert ระบุปัจจัยที่ทำให้เกิดเหตุ 3 ข้อ คือ การรีวิวความปลอดภัยระหว่างย้ายระบบไม่เพียงพอ การเฝ้าดูกิจกรรมของบัญชีไม่เพียงพอ และโมเดลการให้สิทธิ์ที่ไม่ได้คาดถึงการสมัครบัญชีด้วยตัวเอง บันทึกของระบบไม่พบการออกใบรับรอง การตรวจยืนยันโดเมน หรือการเพิกถอนที่เกี่ยวข้อง และบัญชีที่ไม่ได้รับอนุญาตแก้ไขข้อมูลหรืออนุมัติการตรวจยืนยันไม่ได้ ข้อจำกัดของข้อมูล คือ รายงานบอกว่าเป็น “สัดส่วนเล็ก” ของข้อมูลที่เก็บไว้ แต่ไม่ได้ระบุจำนวนลูกค้าที่ได้รับผล ไม่ได้ระบุว่าใครเป็นผู้เข้าถึง และการตรวจสอบขั้นสุดท้ายกำหนดไว้วันที่ 6 พฤศจิกายนซึ่งยังดำเนินอยู่

วิธีการโจมตี

ย้ายระบบแล้วหลุดจากรั้ว VPN — ระบบเก็บข้อมูลลูกค้าเก่าเคยอยู่ในเครือข่ายที่ต้องผ่าน VPN การย้ายไปอยู่ใน availability zone ที่เข้าถึงจากภายนอกได้ทำให้ด่านเครือข่ายที่เคยป้องกันหายไป โดยไม่มีใครตรวจพบนานกว่าหนึ่งปี

หน้าสมัครบัญชีที่ติดมากับแพลตฟอร์ม — ระบบนี้ใช้แพลตฟอร์มจัดการบัญชีตัวเดียวกับระบบอื่น ซึ่งมี endpoint ให้สมัครบัญชีด้วยตัวเอง เมื่อระบบเปิดสู่อินเทอร์เน็ต endpoint นี้ก็เปิดตาม คนนอกจึงสร้างบัญชีของตัวเองได้

บัญชีใหม่ไม่ต้อง MFA และได้สิทธิ์อ่านตามค่าเริ่มต้น — พนักงานต้องยืนยันตัวตนด้วย MFA แต่บัญชีที่สมัครผ่านช่องทางนี้ไม่ได้ผูกกับแอปพลิเคชันใด จึงไม่ถูกบังคับ MFA และได้สิทธิ์อ่านอย่างเดียวตามค่าเริ่มต้น สิทธิ์นี้พอให้เปิดดูข้อมูลลูกค้าที่เก็บไว้ได้ บทเรียนหลัก คือ การจำกัดเครือข่ายใช้แทนการตรวจสิทธิ์ราย endpoint ไม่ได้

ผลกระทบ

กลุ่มที่ได้รับผล คือ ลูกค้าของ DigiCert ที่มีข้อมูลอยู่ในระบบเก็บข้อมูลเก่า ข้อมูลที่หลุดส่วนใหญ่เป็นข้อมูลติดต่อธุรกิจ ซึ่งเสี่ยงต่อการถูกใช้ทำฟิชชิงแบบเจาะจง เช่น อีเมลปลอมแจ้งใบรับรองหมดอายุหรือขอยืนยันโดเมน ส่วนลูกค้าส่วนน้อยที่เคยส่งเอกสารยืนยันตัวตนให้ DigiCert เสี่ยงสูงกว่า เพราะสำเนาพาสปอร์ตหรือใบขับขี่ใช้ปลอมตัวตนได้

สิ่งที่ไม่ได้รับผล คือ ความน่าเชื่อถือของใบรับรอง เพราะระบบออกใบรับรอง credential ล็อกอิน และใบรับรองที่ออกแล้วไม่ถูกแตะ จึงไม่ต้องเพิกถอนหรือออกใบรับรองใหม่ อย่างไรก็ดี เหตุนี้เกิดกับผู้ออกใบรับรองที่ต้องรักษาความเชื่อถือในระดับสูง และใช้เวลานานจาก 18 มิถุนายนถึง 19 ตุลาคมกว่าจะยืนยันว่าข้อมูลรั่ว ซึ่งยืดเวลาที่ลูกค้าไม่รู้ว่าตัวเองเสี่ยง

คำแนะนำ

  • ลูกค้า DigiCert — ทำทันที: ระวังอีเมล โทรศัพท์ หรือข้อความที่อ้างชื่อ DigiCert ขอให้ยืนยันโดเมน ต่ออายุใบรับรอง หรือส่งเอกสาร และตรวจสอบผ่านช่องทางทางการของ DigiCert ก่อนทำตาม
  • ลูกค้าที่เคยส่งเอกสารยืนยันตัวตน: ติดตามการแจ้งจาก DigiCert ว่าเอกสารของตนอยู่ในข้อมูลที่ถูกเข้าถึงหรือไม่ และเฝ้าระวังการนำตัวตนไปใช้เปิดบัญชีหรือสมัครบริการ
  • องค์กรที่ย้ายระบบขึ้นคลาวด์: ตรวจว่าระบบภายในที่ย้ายไปแล้วยังมี endpoint สมัครบัญชีด้วยตัวเองหรือ endpoint ที่ไม่ต้องยืนยันตัวตนติดมาจากแพลตฟอร์มหรือไม่ และปิดถ้าไม่ได้ใช้
  • องค์กร — ระยะยาว: ตั้งค่าเริ่มต้นของบัญชีใหม่ให้ไม่มีสิทธิ์ใด (deny by default) บังคับ MFA กับทุกบัญชีไม่ใช่เฉพาะพนักงาน และตั้งการแจ้งเตือนเมื่อมีบัญชีที่ไม่ใช่พนักงานเกิดขึ้นในระบบภายใน
  • องค์กร — ระยะยาว: ถือการพบบัญชีแปลกปลอมเป็นเหตุที่ต้องสอบสวนการเข้าถึงข้อมูลทันที ไม่ใช่แค่ปัญหาการสร้างบัญชี

แหล่งอ้างอิง