Sécurité · 14 novembre 2026
Également publié en Português (Brasil), 日本語, 中文, 한국어, Türkçe, Indonesia, ไทย, Italiano, Polski, עברית, Deutsch, Español, Nederlands, Svenska, العربية, Norsk
DigiCert confirme une fuite de données suite à une erreur de configuration réseau
L'autorité de certification DigiCert a informé ses clients d'une fuite de données provoquée par une erreur survenue lors de la migration d'un système interne. Cet incident de sécurité a exposé des informations sensibles appartenant à un nombre indéterminé de personnes et d'entreprises après qu'un archivage interne est devenu accessible depuis internet pendant plus de seize mois.
La cause racine du problème réside dans le déplacement, effectué en février deux mille vingt-cinq, d'un système de stockage d'archives. Ce système a été transféré d'un réseau sécurisé accessible uniquement via un réseau privé virtuel vers un autre segment réseau. Une erreur de configuration a accidentellement rendu cette infrastructure visible sur internet, mais cette vulnérabilité critique est restée non détectée par les équipes de sécurité pendant une longue période.
Le mécanisme de gestion des comptes utilisé par ce système interne était identique à celui des services clients de l'entreprise. Par conséquent, la fonction d'inscription autonome, conçue pour d'autres applications et non prévue pour gérer des archives de données clients, est restée active. Cette faille permettait à n'importe quel individu de créer un compte sans authentification multifacteur. En raison d'une erreur dans les paramètres de droits, ces nouveaux comptes obtenaient un accès en lecture à l'archive contenant les données des clients, bien qu'ils ne pussent modifier aucune information.
Les premiers comptes externes ont été identifiés par les spécialistes le dix-huit juin deux mille vingt-six. Initialement, l'entreprise a estimé qu'aucune menace n'existait car ces comptes n'étaient liés à aucune application spécifique et ne devaient théoriquement pas accéder aux données clients. Cependant, il est apparu plus tard que l'erreur dans le système d'autorisation rendait cette restriction inefficace. Un chercheur externe a signalé la possibilité de créer de tels comptes trois jours après cette première découverte, conduisant au blocage des accès le deux juillet.
L'enquête a révélé qu'un compte externe avait déjà été utilisé pour consulter des données clients entre le vingt-sept juin et le deux juillet. Bien que l'incident ait d'abord été traité comme un simple problème de création de comptes, l'entreprise a commencé à soupçonner un accès non autorisé à l'archive le douze octobre et a confirmé la fuite de données le dix-neuf octobre.
Les enregistrements compromis contenaient des noms, des adresses électroniques professionnelles, des numéros de téléphone et des adresses d'entreprises. Dans certains cas, l'archive incluait également des permis de conduire, des passeports, des factures de services publics et d'autres documents comportant des noms et des adresses. L'entreprise précise que seule une petite partie de l'archive a été touchée et que l'infrastructure principale, ainsi que les certificats émis, n'ont pas été affectés.
Suite à cette investigation, DigiCert a désactivé l'inscription autonome, réinitialisé les mots de passe des utilisateurs du système interne, renforcé l'accès au réseau et mis en place une surveillance supplémentaire avec des alertes pour prévenir de futurs incidents similaires.