DigiCert发生客户数据泄露事件

数字证书机构DigiCert通知客户，因内部系统迁移中的错误导致客户数据泄露。该系统于2025年2月从仅可通过VPN访问的网络迁移至其他区域，结果在互联网上意外可用，问题持续了超过16个月。

泄露的根源在于用于存储归档数据的内部系统，该系统使用与DigiCert客户服务相同的账户管理机制。由于错误配置，系统保留了一个原本为其他应用设计的自助注册功能，任何人都可以在没有多因素认证的情况下创建账户，并因权限设置错误而访问客户数据的归档。

DigiCert的专业人员在2026年6月18日首次发现外部账户，但初步判断认为没有安全威胁，因这些账户未与任何应用绑定，且未应有访问客户数据的权限。后来才发现由于授权系统的错误，这一限制并未生效。

2026年6月30日，外部研究人员向DigiCert报告了账户创建的可能性，并于7月2日封锁了相关访问。然而，到那时，一个外部账户已在6月27日至7月2日间查看客户数据。

DigiCert确认泄露的记录中包含姓名、工作邮箱地址、电话号码和公司地址，部分归档中还存有驾驶执照、护照和其他带有姓名及地址的文件。尽管DigiCert表示泄露仅涉及“少量”归档，但未披露具体受影响的公司和个人数量。

DigiCert强调，外部账户仅具备查看权限，无法修改记录或颁发证书，且事件未影响认证中心的基础设施和客户的账户凭据。事件发生后，DigiCert已采取措施关闭自助注册、重置内部系统用户密码、加强网络访问控制，并增加监控和警报机制。