DigiCert sofre violação de dados que expõe informações de clientes e documentos de identidade

man in black crew-neck top using smartphone — Jonas Leupe / Unsplash

A DigiCert alertou que sofreu uma violação de dados após a migração de um servidor ter exposto erroneamente um sistema empresarial interno à internet, permitindo o acesso não autorizado a informações de clientes e documentos de identidade.

A autoridade certificadora afirmou que a violação afetou uma pequena parte de seus dados de clientes arquivados. As informações expostas incluem nomes, endereços de e-mail comerciais, números de telefone e endereços comerciais. Para algumas pessoas, os registros também continham documentos de identificação pessoal, como passaportes, carteiras de motorista e contas de serviços públicos.

O incidente teve origem em uma migração de servidor ocorrida em fevereiro de 2025, que expôs à internet um sistema empresarial interno que anteriormente era acessível apenas via VPN. Esse sistema possuía um recurso de autorregistro destinado a outras aplicações, o que permitiu que usuários externos criassem contas. Uma falha de autorização permitiu que essas contas acessassem informações de clientes arquivadas em modo de apenas leitura, embora as contas não estivessem atribuídas a nenhuma aplicação específica.

A DigiCert descobriu contas não autorizadas no sistema em junho de 2026, mas inicialmente determinou que elas não podiam acessar informações de clientes. Após receber um alerta por meio de seu programa de pesquisa de segurança gerenciada, a empresa implementou correções de segurança para restringir o acesso e corrigir a falha de autorização, porém não percebeu na época que dados arquivados haviam sido acessados.

Uma investigação posterior confirmou, em 19 de outubro, que uma conta não autorizada acessou informações de clientes entre 27 de junho e 2 de julho de 2026. A empresa admitiu que o incidente foi tratado inicialmente como um problema de criação de conta, e não como um evento de acesso a dados. A DigiCert afirmou que a conta não autorizada tinha acesso apenas de leitura e não podia modificar registros, emitir certificados ou aprovar validações de certificados.

Como resposta, a empresa restringiu o acesso ao sistema afetado, desativou o autorregistro e adicionou controles de acesso adicionais. A DigiCert informou que suas plataformas DigiCert ONE e CertCentral, bem como seus serviços de autoridade certificadora, não foram comprometidos, e que os certificados emitidos e as credenciais de login dos clientes permanecem seguros. A empresa começou a enviar notificações aos clientes afetados e continua revisando os documentos de identificação para determinar todas as pessoas impactadas.