A DigiCert informou que sofreu um data breach após uma migração de servidor expor acidentalmente à internet um sistema corporativo interno. A falha permitiu o acesso não autorizado a informações de clientes e documentos de identificação.
Segundo a autoridade certificadora, o incidente afetou uma pequena parte dos dados arquivados de clientes, incluindo nomes, endereços de e-mail profissionais, números de telefone e endereços comerciais.
Em alguns casos, os registros expostos também continham documentos de identificação pessoal, como carteiras de habilitação, passaportes e contas de serviços públicos.
A DigiCert começou a enviar notificações sobre o data breach aos clientes afetados. O arquiteto de cloud Fabian Bader publicou no X uma cópia do aviso recebido.
“Obrigado, @digicert, por dizer que o vazamento de dados foi ‘limitado’ a todos os meus dados pessoais e, possivelmente, a qualquer documento de verificação que enviei para obter meu certificado”, escreveu Bader.
Na notificação, a DigiCert informou que ainda analisava os documentos de identificação para determinar quem havia sido afetado. A empresa disse que avisaria essas pessoas após concluir a análise.
“As informações envolvidas se limitavam a nomes, endereços de e-mail profissionais, números de telefone e endereços comerciais compartilhados com a DigiCert. Se fornecido, o material também poderia incluir um documento de identificação, como carteira de habilitação, passaporte, conta de serviços públicos ou outro documento com nome e endereço”, diz a notificação sobre o data breach.
Um relatório do incidente publicado na plataforma Bugzilla, da Mozilla, explica que uma migração de servidor realizada em fevereiro de 2025 expôs acidentalmente à internet um sistema corporativo interno que antes só podia ser acessado por VPN.
O sistema exposto tinha um recurso de autoinscrição destinado a outras aplicações, que permitia a usuários externos criar contas.
Embora essas contas não fossem vinculadas a uma aplicação específica, uma falha de autorização permitia que seus titulares acessassem informações arquivadas de clientes em modo somente leitura.
A DigiCert detectou as contas não autorizadas no sistema exposto em junho de 2026, mas concluiu inicialmente que elas não poderiam acessar informações de clientes por não estarem vinculadas a uma aplicação.
Depois, a empresa recebeu um aviso por meio de seu programa de pesquisa de segurança gerenciada. O relato alertava que usuários externos conseguiam criar contas no sistema.
A DigiCert aplicou correções de segurança para restringir o acesso ao sistema e corrigir a falha de autorização. Na época, porém, a empresa não percebeu que os dados arquivados haviam sido acessados.
Somente em 19 de outubro, uma investigação adicional confirmou que uma conta não autorizada acessou informações de clientes entre 27 de junho e 2 de julho de 2026.
“O incidente foi tratado inicialmente como um problema de criação de contas, e não como um evento de acesso a dados”, reconheceu a DigiCert no relatório.
Segundo a empresa, a conta não autorizada tinha acesso somente para leitura e não podia alterar registros, aprovar validações de certificados nem emitir certificados.
A DigiCert restringiu o acesso ao sistema afetado, desativou a autoinscrição e adicionou controles de acesso.
A empresa afirma que seus serviços de autoridade certificadora, a plataforma CertCentral e a plataforma DigiCert ONE não foram comprometidos. As credenciais de acesso dos clientes e os certificados emitidos também continuam seguros, segundo a DigiCert.
O BleepingComputer informou que procurou a empresa para esclarecer outros detalhes do incidente, incluindo o número de pessoas afetadas.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...