Wyciek danych w DigiCert ujawnia informacje o klientach i dokumenty tożsamości

Firma DigiCert ostrzegła, że padła ofiarą naruszenia danych, w wyniku którego informacje o klientach oraz dokumenty tożsamości zostały wystawione na widok publiczny.

Przyczyną incydentu była migracja serwerów z lutego 2025 roku, która omyłkowo udostępniła wewnętrzny system biznesowy w internecie. Wcześniej system ten był dostępny wyłącznie poprzez sieć VPN. Wyeksponowany system posiadał funkcję samorejestracji przeznaczoną dla innych aplikacji, co umożliwiło użytkownikom zewnętrznym tworzenie kont. Błąd autoryzacji pozwolił tym kontom na dostęp do zarchiwizowanych informacji o klientach w trybie tylko do odczytu.

Naruszenie dotyczyło niewielkiej części zarchiwizowanych danych. Wyciekły imiona i nazwiska, służbowe adresy e-mail, numery telefonów oraz adresy firmowe. W przypadku niektórych osób ujawnione rekordy zawierały również osobiste dokumenty tożsamości, takie jak paszporty, prawa jazdy oraz rachunki za media.

DigiCert wykryła nieautoryzowane konta w czerwcu 2026 roku, lecz początkowo uznała, że nie mają one dostępu do danych klientów. Po otrzymaniu zgłoszenia z programu badań bezpieczeństwa firma wdrożyła poprawki ograniczające dostęp i naprawiła błąd autoryzacji, nie zdając sobie jednak sprawy, że dane zostały już pobrane. Dopiero 19 października dochodzenie potwierdziło, że nieautoryzowane konto uzyskało dostęp do informacji w okresie od 27 czerwca do 2 lipca 2026 roku.

Firma przyznała, że zdarzenie zostało początkowo potraktowane jako problem z tworzeniem kont, a nie jako incydent związany z dostępem do danych. Podkreślono, że nieautoryzowane konto miało uprawnienia tylko do odczytu, co oznacza, że nie mogło modyfikować rekordów, zatwierdzać walidacji certyfikatów ani wydawać certyfikatów. DigiCert ograniczyła obecnie dostęp do systemu, wyłączyła samorejestrację i wprowadziła dodatkowe kontrole dostępu.

Zapewniono, że platformy DigiCert ONE oraz CertCentral, a także usługi urzędu certyfikacji nie zostały naruszone. Dane logowania klientów oraz wydane certyfikaty pozostają bezpieczne. Firma rozpoczęła wysyłanie powiadomień do poszkodowanych klientów i nadal analizuje dokumenty tożsamości, aby ustalić pełną listę osób dotkniętych wyciekiem.