DigiCert confirme une faille de sécurité ayant exposé des données clients et des documents d'identité

closeup photo of black and white Apple keyboard keys — Sam Albury / Unsplash

DigiCert a subi une violation de données après qu'une migration de serveur a involontairement exposé un système interne d'entreprise à Internet, permettant un accès non autorisé à des informations clients et à des documents d'identité. L'incident a touché une petite partie des données archivées, incluant des noms, des adresses courriel professionnelles, des numéros de téléphone et des adresses professionnelles. Pour certains individus, les enregistrements exposés contenaient également des documents d'identification personnels, tels que des permis de conduire, des passeports et des factures de services publics. L'entreprise a commencé à envoyer des notifications de violation aux clients affectés. Un architecte du cloud a partagé une copie de cette notification sur le réseau social X, exprimant son mécontentement quant à l'exposition de ses données personnelles complètes et de ses documents de vérification. DigiCert a indiqué dans la notification qu'elle était toujours en train d'examiner les documents d'identification pour déterminer qui était affecté et les notifierait une fois l'examen terminé.

Un rapport d'incident publié sur la plateforme Bugzilla de Mozilla explique qu'une migration de serveur en février 2025 a involontairement exposé un système interne d'entreprise à Internet, alors qu'il n'était auparavant accessible que via un réseau privé virtuel. Le système exposé contenait une fonction d'auto-inscription destinée à d'autres applications, permettant aux utilisateurs externes de créer des comptes. Bien que ces comptes n'aient pas été assignés à une application particulière, une faille d'autorisation leur a permis d'accéder aux informations clients archivées en mode lecture seule. DigiCert a découvert pour la première fois des comptes non autorisés sur le système exposé en juin 2026, mais a initialement déterminé qu'ils ne pouvaient pas accéder aux informations clients parce qu'ils n'étaient pas assignés à une application. L'entreprise a ensuite reçu un rapport via son programme de recherche de sécurité géré, avertissant que des utilisateurs externes pouvaient créer des comptes sur le système. DigiCert a déployé des correctifs de sécurité pour restreindre l'accès au système et corriger la faille d'autorisation, mais n'a pas réalisé à ce moment-là que des données archivées avaient été accédées.

Ce n'est que le 19 octobre qu'une enquête supplémentaire a confirmé qu'un compte non autorisé avait accédé aux informations clients entre le 27 juin et le 2 juillet 2026. DigiCert a reconnu que l'incident avait été initialement traité comme un problème de création de compte plutôt que comme un événement d'accès aux données. L'entreprise affirme que le compte non autorisé avait un accès en lecture seule et ne pouvait pas modifier les enregistrements, approuver les validations de certificats ou émettre des certificats. DigiCert a maintenant restreint l'accès au système affecté, désactivé l'auto-inscription et ajouté des contrôles d'accès supplémentaires. L'entreprise affirme que ses services d'autorité de certification, CertCentral et les plateformes DigiCert ONE n'ont pas été compromis, et que les identifiants de connexion des clients et les certificats émis restent sécurisés.