Przejdź do treści
Cyberataki

Atak na DigiCert: wykradziono certyfikaty EV Code Signing. Co to oznacza dla firm?

Hakerzy przejęli certyfikaty EV Code Signing z portalu DigiCert. Część posłużyła do podpisywania malware. Firma unieważniła 60 certyfikatów. Sprawdź, czy Twój nie jest zagrożony.

3 min read
An abstract composition of a shattered digital seal with a glowing key fragment falling into a dark network of cables and server racks, illuminated by a single beam of light from above.

W kwietniu 2026 roku doszło do ataku na DigiCert, jednego z największych wystawców certyfikatów cyfrowych. Hakerzy przejęli kontrolę nad wewnętrznym portalem wsparcia i wykradli certyfikaty EV Code Signing. Część z nich została wykorzystana do podpisywania złośliwego oprogramowania. Firma unieważniła 60 certyfikatów, ale incydent pokazuje, jak poważne konsekwencje może mieć włamanie do infrastruktury zaufanego dostawcy.

Jak doszło do ataku?

Jak wynika z raportu DigiCert opublikowanego 4 maja 2026 roku, atak rozpoczął się 2 kwietnia. Haker wysłał do zespołu wsparcia technicznego wiadomość przez kanał czatu z klientem, podszywając się pod zrzut ekranu. W rzeczywistości był to złośliwy plik, który zainfekował dwa endpointy. Jeden z nich wykryto następnego dnia, drugi – dopiero 14 kwietnia. DigiCert przyznaje, że opóźnione wykrycie drugiej infekcji wynikało z niesprawnie działających rozwiązań bezpieczeństwa na tym urządzeniu.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Po uzyskaniu dostępu do zainfekowanego systemu hakerzy przeszli do wewnętrznego portalu wsparcia. Wykorzystali funkcję ograniczonego dostępu, która umożliwia autoryzowanym analitykom wsparcia działanie w imieniu klienta. Dzięki temu zdobyli kody inicjalizacyjne dla oczekujących zamówień na certyfikaty EV Code Signing. Posiadając kod inicjalizacyjny i zatwierdzone zamówienie, mogli wygenerować certyfikat.

Skutki: unieważnione certyfikaty i podpisane malware

Do 17 kwietnia DigiCert zidentyfikował i unieważnił 60 certyfikatów powiązanych z incydentem. Z tego 27 zostało bezpośrednio powiązanych z działaniami atakujących. Co więcej, 11 certyfikatów zgłosiła społeczność – posłużyły one do podpisania malware z rodziny Zhong Stealer. Firma podkreśla, że nie znalazła dowodów na wykorzystanie innych wewnętrznych systemów poza kodami inicjalizacyjnymi do Code Signing.

DigiCert podjął natychmiastowe działania: unieważnił wszystkie potencjalnie zagrożone certyfikaty, anulował oczekujące zamówienia i zamknął dostęp atakującym. Wdrożono też dodatkowe zabezpieczenia, w tym wieloskładnikowe uwierzytelnianie (MFA) dla przepływów administracyjnych, zablokowano dostęp do kodów inicjalizacyjnych z poziomu użytkowników wsparcia oraz ograniczono typy plików przesyłanych przez czat i załączniki w Salesforce.

Co to oznacza dla firm i administratorów?

Incydent w DigiCert dotyka przede wszystkim organizacje, które korzystają z certyfikatów EV Code Signing do podpisywania swojego oprogramowania. Jeśli Twoja firma zamawiała takie certyfikaty w okresie poprzedzającym atak, warto sprawdzić, czy nie znajdują się one na liście unieważnionych. DigiCert opublikował stosowne informacje, a administratorzy powinni zweryfikować stan swoich certyfikatów.

Atak pokazuje również, jak ważne jest monitorowanie własnych systemów i szybkie reagowanie na podejrzane aktywności. Opóźnione wykrycie drugiego zainfekowanego endpointu (aż o 11 dni) umożliwiło hakerom dalsze działania. Warto zadbać o sprawność rozwiązań bezpieczeństwa i regularnie sprawdzać ich działanie.

Dla użytkowników końcowych – zwłaszcza tych, którzy instalują oprogramowanie podpisane certyfikatem EV – oznacza to, że sam fakt podpisu nie gwarantuje już bezpieczeństwa. Zawsze warto pobierać aplikacje wyłącznie z oficjalnych źródeł i weryfikować sumy kontrolne, jeśli producent je udostępnia.

Co dalej?

DigiCert zapowiedział dalsze udoskonalanie zabezpieczeń i dzielenie się szczegółami po zakończeniu śledztwa. Dla firm to sygnał, aby przejrzeć swoje procedury zarządzania certyfikatami i rozważyć wdrożenie dodatkowych kontroli dostępu. Incydent ten nie jest odosobniony – w ostatnich miesiącach doszło do podobnych włamań u innych dostawców bezpieczeństwa, takich jak Checkmarx czy Cisco. Warto śledzić komunikaty DigiCert i w razie wątpliwości skontaktować się z ich zespołem wsparcia.

#atak na dostawcę #bezpieczeństwo firm #DigiCert #EV Code Signing #malware #wyciek certyfikatów
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie stockowe, kobieta około 40 lat siedząca przy biurku w mieszkaniu, trzyma smartfon w dłoni (widziany od tyłu, bez widocznego ekranu), patrzy na niego z zaniepokojeniem, obok laptop z wyłączonym ekranem, naturalne światło dzienne, głębia ostrości, kadr 16:9, styl Reuters, bez żadnych napisów ani cyfr. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Cyberataki

Phishing na Microsoft Teams

29 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Fotorealistyczne zdjęcie reporterskie: starszy mężczyzna w polskim mieszkaniu w bloku z lat 70., siedzi przy stole w kuchni, trzyma smartfon z włączoną mapą Google, na twarzy wyraz zaniepokojenia i dezorientacji. Przez okno widać szare osiedle. Naturalne światło dzienne, głębia ostrości, ziarno jak z aparatu Canon, kadr 16:9 zbliżenie na twarz i telefon. Żadnych napisów, ekranów z interfejsem, pieniędzy ani dokumentów. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Cyberataki

Rosyjskie zagłuszanie GPS w Polsce. 2/3 kraju pod ostrzałem

27 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. Close-up of a worried middle-aged man looking at a laptop screen, office background, natural daylight, photorealistic, 16:9, high contrast, shallow depth of field, slight grain resembling stock photography from Getty Images. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Cyberataki

Fałszywa aktualizacja Microsoft Teams. Hakerzy przejmują Twój komputer przez RMM

27 lipca, 2026 3 min read