Segurança · 13 de novembro de 2026
DigiCert notifica clientes sobre vazamento de dados causado por erro de migração de sistema
O centro de certificação DigiCert informou seus clientes sobre um vazamento de dados que ocorreu devido a um erro cometido durante a migração de um sistema interno. Em fevereiro de 2025, a empresa transferiu esse sistema de uma rede acessível apenas por VPN para outro segmento, onde ele ficou inadvertidamente exposto à internet. O problema permaneceu despercebido por mais de 16 meses.
O sistema comprometido era usado para armazenar dados de arquivo e utilizava o mesmo mecanismo de gerenciamento de contas dos serviços para clientes da DigiCert. Isso resultou na presença de uma função de auto-registro destinada a outras aplicações, que não deveria funcionar com o arquivo de dados dos clientes. Qualquer pessoa podia criar uma conta sem autenticação multifator e, devido a um erro nas configurações de permissões, obtinha acesso ao arquivo com informações dos clientes. Essas contas não autorizadas podiam apenas visualizar os dados, não modificá-los.
Os especialistas da DigiCert detectaram as primeiras contas não autorizadas em 18 de junho de 2026. Inicialmente, a empresa acreditava que não havia risco, pois essas contas não estavam vinculadas a nenhuma aplicação e presumivelmente não deveriam ter acesso aos dados dos clientes. Posteriormente, descobriu-se que a falha no sistema de autorização tornava essa restrição ineficaz. Três dias depois, um pesquisador externo alertou a DigiCert sobre a possibilidade de criar tais contas, levando a empresa a bloquear o acesso em 2 de julho.
Até esse momento, uma conta não autorizada já havia sido usada para visualizar dados dos clientes entre 27 de junho e 2 de julho. A empresa demorou para reconhecer a gravidade do incidente, suspeitando apenas em 12 de outubro que um terceiro poderia ter acessado o arquivo e confirmando o vazamento em 19 de outubro.
Os registros comprometidos continham nomes, endereços de email corporativos, números de telefone e endereços de empresas. Em alguns casos, o arquivo também incluía carteiras de motorista, passaportes, contas de serviços públicos e outros documentos com nomes e endereços. A DigiCert afirma que o vazamento afetou apenas uma pequena parte do arquivo, mas não divulga o número exato de empresas e pessoas afetadas.
A empresa enfatiza que as contas não autorizadas tinham apenas permissões de leitura e não podiam alterar registros, aprovar resultados de verificações ou emitir certificados. A infraestrutura do centro de certificação, CertCentral, DigiCert ONE, credenciais dos clientes e certificados já emitidos não foram afetados. Após a investigação, a DigiCert desabilitou o auto-registro, redefiniu senhas de usuários do sistema interno, reforçou o acesso à rede e adicionou monitoramento e alertas extras.