Seguridad · 8 de noviembre de 2026
Fuga de datos en DigiCert expone información de clientes y documentos de identidad
DigiCert ha advertido que sufrió una violación de datos tras una migración de servidores que expuso accidentalmente un sistema interno de negocio a internet, permitiendo el acceso no autorizado a información de clientes y documentos de identidad. La autoridad de certificación afirma que la brecha afectó a una pequeña parte de sus datos archivados de clientes, incluyendo nombres, direcciones de correo electrónico de negocios, números de teléfono y direcciones de negocios. Para algunas personas, los registros expuestos también contenían documentos de identificación personal, tales como licencias de conducir, pasaportes y facturas de servicios públicos. DigiCert ha comenzado a enviar notificaciones de violación de datos a los clientes afectados, con el arquitecto de la nube Fabian Bader compartiendo una copia de la notificación en la plataforma X. En la notificación, DigiCert dijo que seguía revisando los documentos de identificación para determinar a quienes se vio afectado y los notificaría una vez que la revisión estuviera completa.
El informe de incidentes en la plataforma Bugzilla de Mozilla explica que una migración de servidores en febrero de 2025 expuso accidentalmente un sistema interno de negocio a internet que anteriormente solo era accesible a través de una red privada virtual. El sistema expuesto contenía una función de auto registro destinada a otras aplicaciones, permitiendo a los usuarios externos crear cuentas. Aunque estas cuentas no estaban asignadas a ninguna aplicación en particular, un defecto de autorización les permitió acceder a la información archivada de los clientes en modo de solo lectura. DigiCert descubrió por primera vez cuentas no autorizadas en el sistema expuesto en junio de 2026, pero inicialmente determinó que no podían acceder a la información de los clientes porque no estaban asignadas a una aplicación. La empresa posteriormente recibió un informe a través de su programa de investigación de seguridad gestionado que advertía de que los usuarios externos podían crear cuentas en el sistema.
DigiCert implementó correcciones de seguridad para restringir el acceso al sistema y abordar el defecto de autorización, pero no se dio cuenta en ese momento de que se había accedido a los datos archivados. No fue hasta el 19 de octubre que una investigación adicional confirmó que una cuenta no autorizada había accedido a la información de los clientes entre el 27 de junio y el 2 de julio de 2026. DigiCert dice que la cuenta no autorizada tenía acceso de solo lectura y no podía modificar registros, aprobar validaciones de certificados o emitir certificados. La empresa ha restringido ahora el acceso al sistema afectado, deshabilitado el auto registro y añadido controles de acceso adicionales. DigiCert afirma que sus servicios de autoridad de certificación, CertCentral y las plataformas DigiCert ONE no fueron comprometidos, y que las credenciales de inicio de sesión de los clientes y los certificados emitidos siguen siendo seguros.