Der Anbieter GlobalSign musste gegenüber einigen Kunden einen Datenschutzvorfall eingestehen. Bei deren Customer Relationship Management Platform (CRM) kam es zu einer Fehlkonfigurierung, so dass ein Teil der Kundendaten für einige Zeit für Unbefugte abrufbar gewesen wäre. Hier einige Informationen zum Vorfall.
Anzeige
Wer ist GlobalSign?
GlobalSign ist eine Zertifizierungsstelle und Anbieter von Identitätsdiensten, zertifiziert von WebTrust. GlobalSign wurde laut Wikipedia 1996 gegründet und ist Teil der GMO CLOUD K.K. in Japan. Das Unternehmen bietet eine weite Auswahl an Lösungen für Identitätsdienste an. So werden auch Dienstleistungen rund um Public-Key-Infrastruktur (PKI) und Identity and Access Management angeboten.
Die Dienste ermöglichen Kunden sichere E-Services zu erstellen, Mitarbeiter- und externe Identitäten zu managen und PKI-Einführungen für Benutzer und verschiedene Geräte zu automatisieren. GlobalSigns Identity & Access Management Portfolio besteht aus Zugangskontrolle, Single Sign-On (SSO), Federation und Diensten zur Delegation.
Aber CRM-Plattform nicht im Griff
Fehler können schnell passieren – bei GlobalSign war es die Customer Relationship Management Platform (CRM), in der die Kunden eingetragen sind. Ein Blog-Leser hat mich bereits zum 26. September 2024 per Mail über einen Datenschutzvorfall informiert (danke). Er gehört wohl zu den Kunden von GlobalSign und wurde per Mail über einen Datenschutzvorfall informiert.
Es gab eine Fehlkonfiguration der intern genutzten Customer Relationship Management-Plattform (CRM). Dem Sicherheitsteam ist am 25. September 2024 eine Fehlkonfiguration in diesem CRM aufgefallen. Diese Fehlkonfiguration ermöglichte den unbefugten Lesezugriff auf eine begrenzte Teilmenge der GlobalSign-Kundendaten.
Anzeige
Die Fehlkonfiguration bestand zwischen dem 12. September 2024 bis zur Behebung des Problems am 25. September 2024. Eine Untersuchung ergab, dass am 20. September 2024 ein einzelner, nicht identifizierter Dritter auf die Daten zugegriffen haben könnte. Daher ist es möglich (und wohl wahrscheinlich), dass nachfolgende Kundendaten in die Hände Dritter gelangt sind:
- Vor- und Nachname, E-Mail-Adresse, Telefonnummer (falls angegeben).
- Kontaktinformationen, die in E-Mail-Signaturen enthalten sind.
- Austausch mit unserer Kundendienstabteilung bei Anfragen in Bezug auf Zertifikatsbestellung(en).
Der Anbieter beruhigt seine Kunden. Es wurde zwar "eine Teilmenge der Kundendaten vorübergehend offengelegt". Nachweisdokumente mit sensiblen PII, wie z. B. Reisepässe und Führerscheine, seien nicht offengelegt worden. Und es gebe auch keine Hinweise auf eine Kompromittierung anderer GlobalSign-Systeme oder GlobalSigns Zertifikatsdienste.
Mail des Anbieters:
Dear
Summary: Due to a misconfiguration in our Customer Relationship Management platform (CRM), we discovered that a subset of our customer data was temporarily exposed. There are no indications of a compromise of other GlobalSign systems or GlobalSign's certificate services.
We are sorry to inform you that on September 25th, 2024, our security team discovered a misconfiguration in our CRM which allowed unauthorized 'read' access to a limited subset of our customer data. The data exposure occurred from September 12th, 2024, until the issue was remediated on September 25th, 2024.
Our investigation suggests that the data may have been accessed by a single unidentified third-party on September 20th, 2024. As a result, there is a possibility that the following data could have been accessed:
- First and last name, email address, telephone number (if supplied).
- Contact information included in email signatures.
- Exchanges with our client services department on inquiries related to your certificate order(s).
Verification evidence containing sensitive PII, such as passports and driver licenses, was not exposed.
We would like to offer our sincere apologies for any inconvenience caused. You can find more information about how GlobalSign secures its environment in the following white paper: Protected link to globalsign.com
Should you have any further questions, you can contact us directly at security@globalsign.com
Kind regards
GlobalSign Security & Data Protection team
Anzeige
