DigiCert ha confirmado una brecha de datos relacionada con un sistema interno que almacenaba información archivada de clientes, incluidos documentos de identificación personal. El incidente de seguridad fue resultado de un cambio en la infraestructura que, de forma involuntaria, hizo accesible a través de internet una aplicación previamente restringida.
La autoridad certificadora indicó que la información comprometida consistía principalmente en nombres de clientes, direcciones de correo electrónico empresarial, números de teléfono y direcciones comerciales. Un número menor de registros también contenía pasaportes, permisos de conducir, facturas de servicios y otros documentos presentados para verificación de identidad.
DigiCert no ha revelado cuántos clientes se vieron afectados. La empresa describió la información expuesta como una pequeña parte de sus registros archivados y está revisando los documentos para determinar qué personas requieren notificación adicional.
El problema de seguridad se originó el 4 de febrero de 2025, cuando DigiCert migró una aplicación interna de negocio desde una red accesible solo a través de una red privada virtual a otro entorno de alojamiento. La migración expuso inadvertidamente la aplicación a conexiones externas.
El sistema afectado incluía una función de auto-registro originalmente destinada a otras aplicaciones. Esto permitía a terceros crear cuentas sin los requisitos de autenticación multifactor impuestos a los empleados de DigiCert.
Aunque estas cuentas recién creadas no se asignaron a una aplicación, un defecto de autorización les permitió leer registros de clientes archivados. Los permisos no permitían a las cuentas modificar información ni realizar operaciones relacionadas con certificados.
DigiCert detectó por primera vez cuentas no autorizadas el 18 de junio de 2026. Sin embargo, su investigación inicial concluyó erróneamente que las cuentas no podían acceder a información sensible porque carecían de asignaciones de aplicación.
Posteriormente, la empresa recibió un informe de investigación de seguridad sobre la funcionalidad de registro expuesta e introdujo restricciones para abordar el problema.
Una investigación más profunda reveló que una cuenta no autorizada accedió a información archivada de clientes entre el 27 de junio y el 2 de julio de 2026. DigiCert confirmó la exposición de los datos el 19 de octubre, varios meses después de que ocurriera la actividad.
La empresa reconoció que su respuesta inicial se centró en la creación no autorizada de cuentas más que en la posibilidad de que ya se hubiera accedido a la información de los clientes.
DigiCert enfatizó que su infraestructura de autoridad certificadora no estaba comprometida. Sus plataformas CertCentral y DigiCert ONE, credenciales de acceso de cliente y certificados digitales previamente emitidos permanecieron seguros.
Los investigadores tampoco encontraron pruebas de que la cuenta no autorizada hubiera emitido, modificado o revocado certificados. Por lo tanto, los clientes no necesitan reemplazar sus certificados existentes debido a este incidente.
Tras el descubrimiento, DigiCert deshabilitó la funcionalidad de registro expuesto, restringió el acceso a la aplicación afectada y reforzó los controles de autorización y la monitorización de la seguridad.