基盤移行で「社内専用」がインターネットに出ないか確かめる（DigiCert 事例）
DigiCert は本人確認書類などを保管する社内システムを VPN 内から外部到達可能な区画へ移し、MFA なしの自己登録で約 17 カ月間読める状態にした。移行直後に「どこから届くか」「誰がアカウントを作れるか」を点検する。
いつ使うか
- 社内ツールやアーカイブをクラウド／別 VPC へ移すとき
- 「一時的に」自己登録やゲストアカウントを付けた管理画面があるとき
- 証明書や KYC など、本番サービスとは別系統のバックオフィスを触るとき
何が起きたか
- 2025-02-04 のインフラ移行でアクセス制限が外れ、インターネットから到達可能に。
- 自己登録アカウントは多要素認証の対象外で、アーカイブ済みの顧客連絡先や一部のパスポート／運転免許証を閲覧できた。
- 不正アクセス期間は 2026-06-27〜07-02。証明書の発行・検証・失効には影響なし（入れ替え不要）と公表。
移行チェックリスト
- 移行先のセキュリティグループ／ファイアウォールで、社内 VPN・管理用踏み台以外からの到達を拒否する。公開が必要なら WAF＋認証の前段を置く。
- 自己登録・「招待なしサインアップ」を本番相当の区画では無効にする。残すなら MFA 必須＋管理者承認。
- 移行当日に、社外ネットワークから管理 URL へ接続できるか（到達試験）と、新規アカウントで機密データが見えるかを確認する。
- 不審アカウントの検知を「閲覧不能だから問題なし」で終わらせない。登録日時・最終ログイン・権限をログで追う。
- アーカイブ系は本番より権限が緩くなりがちなので、本番と同じ認証・ネットワーク境界を当てる。
注意
- 「証明書サービスは無事」でも、本人確認書類や連絡先の漏えいは別問題。影響範囲の説明をサービス健全性と混同しない。
- 17 カ月気づかない事例なので、移行後の定期スキャン（外部からの到達面）をカレンダーに入れる。