DigiCert avverte i clienti di una violazione dei dati causata da un errore di configurazione

A Dell laptop with a blue desktop screen on a white surface — Erick Cerritos / Unsplash

Il centro di certificazione DigiCert ha informato i propri clienti riguardo a una violazione dei dati. L'incidente è stato causato da un errore commesso durante la migrazione di un sistema interno. Il problema è rimasto inosservato per oltre sedici mesi prima di essere identificato.

La causa principale risiede in un sistema interno utilizzato per lo stoccaggio di dati archivistici. Questo sistema impiegava lo stesso meccanismo di gestione degli account dei servizi clienti di DigiCert. Di conseguenza, la funzione di registrazione autonoma, prevista per altre applicazioni e non destinata all'archivio dei dati dei clienti, è rimasta attiva. A causa di un errore nelle impostazioni dei permessi, chiunque poteva creare un account senza autenticazione multifattoriale e ottenere l'accesso all'archivio. È stato specificato che tali account permettevano solo la visualizzazione dei dati, non la loro modifica.

I primi account esterni sono stati rilevati dagli specialisti di DigiCert il 18 giugno 2026. Inizialmente l'azienda ha ritenuto che non ci fosse alcun rischio, poiché tali account non erano associati ad alcuna applicazione e, secondo le ipotesi, non avrebbero dovuto avere accesso ai dati dei clienti. Solo in seguito è emerso che, a causa di un difetto nel sistema di autenticazione, tale restrizione non funzionava.

Tre giorni dopo, un ricercatore esterno ha avvisato DigiCert della possibilità di creare tali account. Il 2 luglio l'accesso è stato bloccato. Tuttavia, è stato accertato che un account esterno era già stato utilizzato per visualizzare i dati dei clienti tra il 27 giugno e il 2 luglio.

Per un lungo periodo, l'incidente è stato considerato esclusivamente un problema relativo alla creazione degli account. Solo il 12 ottobre DigiCert ha sospettato che un soggetto esterno potesse aver avuto accesso all'archivio. Il 19 ottobre l'azienda ha confermato la violazione.

DigiCert ha avvertito che i record compromessi contenevano nomi, indirizzi e-mail professionali, numeri di telefono e indirizzi aziendali. In alcuni casi, nell'archivio erano presenti anche patenti di guida, passaporti, bollette dei servizi pubblici e altri documenti contenenti nomi e indirizzi.

I rappresentanti di DigiCert hanno sottolineato che la violazione ha interessato solo una piccola parte dell'archivio, senza rivelare il numero esatto di aziende e persone colpite. È stato inoltre precisato che gli account esterni avevano solo permessi di lettura e non potevano modificare i record, approvare i risultati delle verifiche o emettere certificati. L'infrastruttura del centro di certificazione, CertCentral e DigiCert ONE, nonché le credenziali dei clienti e i certificati già emessi, non sono stati interessati dall'incidente.

Dopo le indagini, gli specialisti di DigiCert hanno disattivato la registrazione autonoma, reimpostato le password degli utenti del sistema interno, rafforzato l'accesso di rete e aggiunto ulteriori sistemi di monitoraggio e allerta.