DigiCert heeft een datalek bevestigd waarbij een intern systeem werd gebruikt dat gearchiveerde klantgegevens, waaronder persoonlijke identiteitsdocumenten, opsloeg. Het beveiligingsincident was het gevolg van een infrastructuurwijziging die onbedoeld een eerder beperkte applicatie via het internet toegankelijk maakte.
De certificaatautoriteit zei dat de gecompromitteerde informatie voornamelijk bestond uit klantnamen, zakelijke e-mailadressen, telefoonnummers en bedrijfsadressen. Een kleiner aantal documenten bevatte ook paspoorten, rijbewijzen, energierekeningen en andere documenten die ter identiteitsverificatie waren ingediend.
DigiCert heeft niet bekendgemaakt hoeveel klanten er zijn getroffen. Het bedrijf beschreef de blootgelegde informatie als een klein deel van zijn gearchiveerde dossiers en beoordeelt de documenten om te bepalen welke personen extra melding nodig hebben.
Het beveiligingsprobleem ontstond op 4 februari 2025, toen DigiCert een interne zakelijke applicatie migreerde van een netwerk dat alleen via een virtueel privénetwerk toegankelijk was naar een andere hostingomgeving. De migratie stelde de applicatie per ongeluk bloot aan externe verbindingen.
Het getroffen systeem bevatte een zelfregistratiefunctie die oorspronkelijk bedoeld was voor andere applicaties. Hierdoor konden buitenstaanders accounts aanmaken zonder de multifactorauthenticatie-eisen die aan DigiCert-medewerkers werden opgelegd.
Hoewel deze nieuw aangemaakte accounts niet aan een applicatie werden toegewezen, maakte een autorisatiefout het mogelijk om gearchiveerde klantrecords te lezen. De rechten stonden de accounts niet toe om informatie te wijzigen of certificate-gerelateerde operaties uit te voeren.
DigiCert merkte voor het eerst ongeautoriseerde accounts op op 18 juni 2026. Het eerste onderzoek concludeerde echter ten onrechte dat de accounts geen toegang hadden tot gevoelige informatie omdat ze geen applicatietoewijzingen hadden.
Het bedrijf ontving vervolgens een beveiligingsrapport over de blootgestelde registratiefunctionaliteit en voerde beperkingen in om het probleem aan te pakken.
Verder onderzoek toonde aan dat een ongeautoriseerd account tussen 27 juni en 2 juli 2026 toegang had gehad tot gearchiveerde klantgegevens. DigiCert bevestigde de blootstelling aan gegevens op 19 oktober, enkele maanden na de activiteit.
Het bedrijf erkende dat de eerste reactie zich richtte op het aanmaken van ongeautoriseerde accounts in plaats van de mogelijkheid dat klantinformatie al was geraadpleegd.
DigiCert benadrukte dat de infrastructuur van de certificaatautoriteit niet was gecompromitteerd. De CertCentral- en DigiCert ONE-platforms, klantinloggegevens en eerder uitgegeven digitale certificaten bleven veilig.
Onderzoekers vonden ook geen bewijs dat het ongeautoriseerde account certificaten had uitgegeven, aangepast of ingetrokken. Daardoor hoeven klanten hun bestaande certificaten niet te vervangen vanwege dit incident.
Na de ontdekking schakelde DigiCert de blootgestelde registratiefunctionaliteit uit, beperkte de toegang tot de getroffen applicatie en versterkte autorisatiecontroles en beveiligingscontrole.