Gegevenslek bij DigiCert legt klantgegevens en identiteitsdocumenten bloot

white and black plaid textile — A. C. / Unsplash

DigiCert heeft een datalek geleden waarbij klantgegevens en identiteitsdocumenten zijn blootgesteld. Dit gebeurde nadat een migratie van servers per ongeluk een intern zakelijk systeem openstelde voor het internet, wat ongeautoriseerde toegang mogelijk maakte.

Het lek trof een klein deel van de gearchiveerde klantgegevens. De blootgestelde informatie omvatte namen, zakelijke e-mailadressen, telefoonnummers en zakelijke adressen. Voor sommige personen bevatten de records ook persoonlijke identificatiedocumenten, zoals paspoorten, rijbewijzen en energierekeningen.

Volgens een incidentrapport op het Bugzilla platform van Mozilla ontstond het probleem door een servermigratie in februari 2025. Hierdoor werd een intern systeem dat voorheen alleen via een virtueel privénetwerk bereikbaar was, toegankelijk voor het internet. Het systeem bevatte een zelfregistratie functie die bedoeld was voor andere applicaties, waardoor externe gebruikers accounts konden aanmaken. Een fout in de autorisatie stelde deze gebruikers in staat om gearchiveerde klantgegevens in een modus van alleen lezen in te zien.

DigiCert ontdekte in juni 2026 voor het eerst ongeautoriseerde accounts op het systeem, maar dacht aanvankelijk dat zij geen toegang hadden tot klantgegevens. Na een melding via een beveiligingsprogramma voor onderzoekers voerde het bedrijf beveiligingsoplossingen uit om de toegang te beperken en de autorisatiefout op te lossen. Op dat moment realiseerde het bedrijf zich echter niet dat er gearchiveerde gegevens waren geraadpleegd.

Een verder onderzoek bevestigde op 19 oktober dat een ongeautoriseerd account tussen 27 juni en 2 juli 2026 klantgegevens had geraadpleegd. DigiCert gaf toe dat het incident in eerste instantie werd behandeld als een probleem met het aanmaken van accounts in plaats van een gebeurtenis waarbij gegevens werden geraadpleegd. Het ongeautoriseerde account had alleen leesrechten en kon geen records wijzigen, certificaatvalidaties goedkeuren of certificaten uitgeven.

Het bedrijf heeft inmiddels de toegang tot het getroffen systeem beperkt, de zelfregistratie uitgeschakeld en extra toegangscontroles toegevoegd. DigiCert meldt dat de platforms CertCentral en DigiCert ONE, evenals de diensten van de certificeringsinstantie, niet zijn gecompromitteerd. Inloggegevens van klanten en uitgegeven certificaten zijn veilig gebleven. De organisatie is begonnen met het versturen van meldingen naar getroffen klanten en onderzoekt nog welke personen specifiek zijn getroffen door de blootstelling van identificatiedocumenten.