DigiCert widerruft Zertifikate nach Support-Portal-Hack
Der Zertifikataussteller DigiCert musste eine Sicherheitsverletzung eingestehen, die zur Kompromittierung seines internen Support-Portals führte. Hackerangreifer nutzten eine Social-Engineering-Taktik: Sie lieferten Malware über einen Customer-Chat-Kanal aus und infizierte damit ein System eines technischen Analysten. Über diesen kompromittierten Zugang gelangten sie in die interne Support-Infrastruktur.
Ablauf des Angriffs
Die Angreifer nutzten den Chat-Kanal für Kundenunterstützung als Angriffsvektore. Sie versendeten Inhalte, die Malware enthielten oder zu ihr führten. Der Analyst öffnete oder aktivierte diese Inhalte, was zur Infektion seines Arbeitssystems führte. Von dort aus konnten die Angreifer sich lateral bewegen und Zugriff auf das Support-Portal erlangen.
Diese Vorgehensweise ist typisch für Supply-Chain-Angriffe: Durch die Kompromittierung eines Mitarbeiters in einer vertrauenswürdigen Position entsteht ein Einfallstor zur gesamten Infrastruktur. Im Fall eines Zertifikatausstellers ist das besonders kritisch, da diese Systeme zur Verwaltung und Ausstellung von SSL/TLS-Zertifikaten genutzt werden.
Reaktion und Konsequenzen
DigiCert handelte mit einem Zertifikatswiderruf. Dies ist der Standard-Response bei Verdacht auf Kompromittierung von Zertifikatsketten. Der Widerruf der betroffenen Zertifikate verhindert, dass diese für böswillige Aktivitäten weitermissbraucht werden können – beispielsweise für Man-in-the-Middle-Angriffe oder Phishing-Kampagnen mit hoher Glaubwürdigkeit.
Für betroffene Kunden bedeutet das ein Austausch ihrer Zertifikate. Je nach Ausmaß der Kompromittierung kann dies ein erheblicher Aufwand sein.
Lektionen für die Sicherheit
Der Vorfall zeigt mehrere wichtige Erkenntnisse:
1. Customer-Support-Kanäle sind attraktive Angriffsziele. Sie haben niedrigere Sicherheitsbarrieren als interne Systeme und werden oft als weniger kritisch eingestuft.
2. Endpoint-Security ist essentiell. Die Malware-Infektion eines einzelnen Analysten war der Hebelpunkt für den gesamten Angriff. Moderne EDR (Endpoint Detection & Response) und verhaltensbasierte Sicherheit könnten solche Infektionen früher erkennen.
3. Zero-Trust-Architektur hätte geholfen. Der kompromittierte Analyst hätte nicht ungehindert auf sensible interne Systeme zugreifen dürfen.
Der DigiCert-Vorfall ist kein Einzelfall. Zertifikataussteller sind hochwertige Ziele für Angreifer, weil ihr Vertrauen von Millionen Systemen weltweit abhängt. Entsprechend umso wichtiger sind mehrschichtige Sicherheitsmaßnahmen und schnelle Incident-Response-Prozeduren.