A DigiCert confirmou o acesso não autorizado a um sistema interno de negócios que continha informações arquivadas de clientes, devido a uma configuração incorreta de segurança que expôs a aplicação à internet.
O incidente afetou dados de contato comercial e, em alguns casos, documentos de identidade. No entanto, a DigiCert afirmou que seus serviços de autoridade certificadora, incluindo CertCentral, DigiCert ONE, credenciais de login de clientes e certificados emitidos, não foram afetados.
De acordo com o relatório de incidente da DigiCert, a exposição teve origem em 4 de fevereiro de 2025, quando uma migração de infraestrutura transferiu o sistema de um segmento de rede restrito por VPN (rede privada virtual) para uma zona de disponibilidade acessível externamente.
A mudança expôs, sem intenção, um endpoint de autocadastro herdado de uma plataforma de gerenciamento de contas também usada em outras implementações.
Vazamento de dados da DigiCert
O sistema de dados arquivados operava suas próprias instâncias de gerenciador de contas, separadas dos produtos voltados aos clientes. Os funcionários se autenticavam com autenticação multifator (MFA, sigla em inglês para multi-factor authentication), mas o fluxo de cadastro exposto criava contas sem atribuição de aplicações.
Essas contas não estavam sujeitas à MFA e recebiam permissões padrão somente de leitura, que mesmo assim permitiam acesso a registros arquivados de clientes.
A equipe interna da DigiCert percebeu contas de não funcionários em 18 de junho de 2026, mas inicialmente concluiu que contas sem aplicações atribuídas não poderiam acessar dados.
Um firewall de aplicação web bloqueou novos cadastros pelo caminho acessível externamente. Um programa gerenciado de pesquisa em segurança reportou o problema de cadastro em 21 de junho, o que motivou novas verificações e uma investigação de engenharia.
Os investigadores constataram posteriormente que o acesso não autorizado aos dados ocorreu entre 27 de junho e 2 de julho de 2026. Um patch de autorização implantado em 2 de julho rejeitou contas sem atribuição de aplicações, retornando respostas HTTP (protocolo de transferência de hipertexto) com código 401. No entanto, a DigiCert tratou inicialmente o incidente como um problema de criação de contas, e não como um evento confirmado de acesso a dados.
O caso ilustra como configurações incorretas em nuvem podem se combinar com autorização insuficiente de aplicações: restringir o acesso à rede não substitui verificações de permissão em cada endpoint.
A DigiCert identificou revisão de segurança inadequada durante a migração, monitoramento insuficiente da atividade de contas e um modelo de autorização que não previu o autocadastro como fatores que contribuíram para o problema.
A DigiCert confirmou a violação de dados notificável em 19 de outubro. As informações acessadas compreendiam principalmente nomes, endereços de e-mail comerciais, números de telefone e endereços comerciais.
Uma pequena minoria das contas de clientes continha documentos adicionais, incluindo passaportes, carteiras de motorista ou contas de serviços públicos. O relatório descreve uma pequena proporção de dados arquivados, mas não informa o número de clientes afetados.
Diferentemente do incidente anterior da DigiCert envolvendo a revogação de certificados de validação de domínio, este evento não exigiu revogações de certificados. Os registros não mostraram emissão de certificados, ações de validação ou atividade de revogação associadas; a conta não autorizada não podia modificar registros nem aprovar validações.
As medidas de correção incluíram a desativação do autocadastro, a transferência dos endpoints restantes para balanceadores de carga com IP (protocolo de internet) privado, a redefinição de senhas dos sistemas de negócios e a inclusão de alertas de acesso a arquivos. A DigiCert agendou para 6 de novembro a auditoria final de exposição e as revisões de monitoramento de contas, atividades que ainda estão em andamento.
