DigiCert Mengalami Kebocoran Data Pelanggan

silver imac on brown wooden table — Clay Banks / Unsplash

Pusat sertifikasi DigiCert telah memberitahu para pelanggannya mengenai terjadinya kebocoran data.

Insiden ini disebabkan oleh kesalahan selama migrasi sistem internal pada Februari 2025. Sistem tersebut dipindahkan dari jaringan yang hanya dapat diakses melalui VPN ke segmen lain, yang secara tidak sengaja membuatnya dapat diakses dari internet. Masalah ini tidak terdeteksi selama lebih dari 16 bulan.

Akar permasalahannya terletak pada sistem internal penyimpanan data arsip yang menggunakan mekanisme manajemen akun yang sama dengan layanan pelanggan DigiCert. Sistem internal tersebut mempertahankan fungsi pendaftaran mandiri yang tidak dirancang untuk arsip data pelanggan. Hal ini memungkinkan siapa saja membuat akun tanpa autentikasi multifaktor dan mendapatkan akses ke arsip data pelanggan karena kesalahan pengaturan hak akses. Akun tersebut hanya memiliki hak untuk melihat data tanpa bisa mengubahnya.

Spesialis DigiCert menemukan akun asing pertama pada 18 Juni 2026, namun awalnya menganggap tidak ada ancaman karena akun tersebut tidak terhubung ke aplikasi apa pun. Tiga hari kemudian, seorang peneliti eksternal memberi tahu DigiCert tentang kemungkinan pembuatan akun tersebut, dan akses akhirnya diblokir pada 2 Juli. Diketahui kemudian bahwa satu akun asing telah digunakan untuk melihat data pelanggan dari 27 Juni hingga 2 Juli.

Perusahaan awalnya menganggap insiden ini hanya masalah pembuatan akun. Pada 12 Oktober, DigiCert mulai mencurigai adanya akses ke arsip, dan pada 19 Oktober, fakta kebocoran dikonfirmasi. Data yang terkompromi mencakup nama, alamat surel kerja, nomor telepon, dan alamat perusahaan. Dalam beberapa kasus, arsip tersebut juga berisi surat izin mengemudi, paspor, tagihan utilitas, serta dokumen lain yang memuat nama dan alamat.

DigiCert menyatakan bahwa kebocoran hanya berdampak pada sebagian kecil arsip, meskipun jumlah pasti perusahaan dan individu yang terdampak tidak diungkapkan. Infrastruktur pusat sertifikasi, CertCentral, DigiCert ONE, kredensial pelanggan, dan sertifikat yang telah diterbitkan tidak terdampak. Akun asing tidak dapat mengubah catatan, menyetujui hasil verifikasi, atau menerbitkan sertifikat.

Sebagai tindak lanjut, DigiCert telah menonaktifkan pendaftaran mandiri, mengatur ulang kata sandi pengguna sistem internal, memperketat akses jaringan, serta menambahkan pemantauan dan peringatan tambahan.