DigiCert har opplevd lekkasje av kundedata

A close-up of shiny black and white piano keys — Hadi Samadzad / Unsplash

Sertifiseringssenteret DigiCert har varslet sine kunder om en lekkasje av data.

Årsaken var en feil under migrering av et internt system i februar 2025. Systemet ble flyttet fra et nettverk som kun var tilgjengelig via VPN til et annet segment, noe som førte til at det ved et uhell ble tilgjengelig fra internett. Denne problemet ble ikke oppdaget på over 16 måneder.

Kjernen i problemet lå i et internt system for lagring av arkivdata. Dette systemet brukte samme mekanisme for kontohåndtering som DigiCert sine kundetjenester, og beholdt derfor en funksjon for selvregistrering. Denne funksjonen var ment for andre applikasjoner og ikke for arkivdata. Dette gjorde det mulig for hvem som helst å opprette en konto uten multifaktorautentisering. På grunn av en feil i rettighetsinnstillingene fikk slike kontoer tilgang til arkivet med kundedata, men de kunne kun se dataene og ikke endre dem.

Spesialister i DigiCert oppdaget de første uvedkommende kontoene 18. juni 2026. Selskapet trodde først at det ikke var noen trussel, da kontoene ikke var knyttet til noen applikasjon. Tre dager senere varslet en ekstern forsker om muligheten for å opprette slike kontoer, og tilgangen ble blokkert 2. juli. Det viste seg senere at en uvedkommende konto hadde blitt brukt til å se på kundedata fra 27. juni til 2. juli.

Selskapet mistenkte først 12. oktober at noen kunne ha fått tilgang til arkivet, og bekreftet lekkasjen 19. oktober.

De kompromitterte postene inneholdt navn, arbeids-e-postadresser, telefonnumre og firmanavn. I enkelte tilfeller inneholdt arkivet også førerkort, pass, strømregninger og andre dokumenter med navn og adresser. DigiCert opplyser at lekkasjen kun berørte en liten del av arkivet, men oppgir ikke nøyaktig antall berørte personer eller selskaper.

Det presiseres at de uvedkommende kontoene ikke kunne endre oppføringer, godkjenne verifiseringer eller utstede sertifikater. Infrastrukturen til sertifiseringssenteret, CertCentral og DigiCert ONE, samt kundepassord og utstedte sertifikater, ble ikke påvirket. Etter etterforskningen har DigiCert deaktivert selvregistrering, nullstilt passord for det interne systemet, strammet inn nettverkstilgangen og innført ekstra overvåking og varsling.