בפברואר 2025 העבירה DigiCert מערכת פנימית בין שרתים, ובדרך הוציאה אותה בטעות אל האינטרנט הפתוח. עד אז אפשר היה להגיע אליה רק דרך VPN. במערכת היה מסלול הרשמה עצמית שנועד לשירותים אחרים של החברה, וכך מי שמחוץ לחברה יכול היה לפתוח בה חשבון. החשבונות האלה לא שויכו לשום שירות, מה שאמור היה להשאיר אותם ריקים מתוכן, אבל תקלה בבדיקת ההרשאות אפשרה להם לקרוא נתוני לקוחות מהארכיון.

מה קרה

DigiCert היא רשות תעודות, אחת החברות שמנפיקות את התעודות שמאחורי סמל המנעול בשורת הכתובת של אתרים, כולל אתרים ישראליים. לפי הציר שהיא פרסמה, היא גילתה את החשבונות הזרים ביוני 2026 והסיקה שהם לא יכולים להגיע לנתוני לקוחות, בדיוק מפני שלא שויכו לשירות. אחר כך הגיע דיווח דרך תוכנית המחקר שהחברה מפעילה, והסביר שמשתמשים חיצוניים יכולים בכלל לפתוח חשבון. היא סגרה את הפער, ולא הבינה שנתונים כבר נקראו.

הקריאה בפועל התרחשה, לפי החקירה, בין 27 ביוני ל-2 ביולי 2026, ו-DigiCert אישרה אותה רק ב-19 באוקטובר בבדיקה נוספת. ההודעות ללקוחות יצאו בימים האחרונים. בלשון החברה עצמה, האירוע טופל בתחילה כבעיה של פתיחת חשבונות ולא כאירוע של גישה לנתונים.

מה נקרא? שמות, כתובות דואר אלקטרוני עסקיות, מספרי טלפון וכתובות של עסקים. בחלק מהרשומות, לפי ההודעה, יש גם מסמכי זיהוי שלקוחות העלו בזמנו לצורך אימות: רישיונות נהיגה, דרכונים וחשבונות שירותים. DigiCert כותבת שהיא עוד עוברת על המסמכים האלה כדי לדעת של מי הם, ותודיע לאותם אנשים בנפרד. כמה אנשים נפגעו היא לא אמרה. היא מתארת את זה כחלק קטן מהארכיון, ולפי BleepingComputer בקשה למספר מדויק לא נענתה.

למה זה חשוב לכם

הצד המרגיע הוא גם החשוב. לפי DigiCert התעודות עצמן לא נגעו בהן: החשבון הזר היה בהרשאת קריאה בלבד, הוא לא יכול היה לשנות רשומות, לאשר אימות של תעודה או להנפיק תעודה חדשה, ומערכות ההנפקה CertCentral ו-DigiCert ONE לא נפרצו. כלומר אין פה מצב שבו אתר שאתם נכנסים אליו יציג מנעול מזויף.

מה שכן יצא הוא בדיוק החומר שבונים ממנו פישינג מדויק: שם, כתובת עסקית, טלפון, דואר אלקטרוני בעבודה. מי שמחזיק בפרטים כאלה יכול לכתוב מייל שנראה כמו המשך של התכתבות אמיתית. החלק של מסמכי הזיהוי ממחיש משהו שקל לשכוח: צילום דרכון שהעליתם פעם אחת לאימות לפני שנים ממשיך לשבת בארכיון של מישהו.

מה עושים?

אם אתם או הארגון שלכם מנהלים תעודות דרך DigiCert, בדקו אם הגיעה הודעה, ותבדקו גם בתיבת הספאם.

התייחסו בחשדנות לכל מייל בנושא תעודות או חידוש תעודה שיגיע בשבועות הקרובים, גם כשהוא מכיל פרטים נכונים עליכם. אל תלחצו על קישור בהודעה כזאת, היכנסו לממשק דרך כתובת שאתם מקלידים בעצמכם.

אל תמהרו להנפיק מחדש את כל התעודות. לפי DigiCert הן לא נפגעו, והחלפה סיטונאית בלחץ היא בדיוק הרגע שבו נולדות טעויות תצורה.

כשספק מבקש מכם לצלם תעודת זהות או דרכון לצורך אימות, שאלו כמה זמן המסמך נשמר ואיפה. זאת שאלה לגיטימית, והתשובה אמורה להופיע בתנאי השימוש.

ההודעה הזאת מעניינת פחות בגלל מה שנקרא, ויותר בגלל שישה עשר החודשים שעברו בין הטעות לגילוי, וארבעת החודשים הנוספים שעברו עד שהחברה הבינה שמדובר בגישה לנתונים ולא בתקלת הרשמה.