DigiCert meldt dat een datalek door een servermigratie klantinformatie en identiteitsdocumenten blootstelde aan onbevoegde toegang.
DigiCert heeft een datalek bevestigd nadat een servermigratie in februari 2025 per ongeluk een intern zakelijk systeem blootstelde aan het internet. Hierdoor konden onbevoegden toegang krijgen tot klantgegevens en identiteitsdocumenten. Het getroffen systeem was voorheen alleen via VPN toegankelijk en bevatte een zelfregistratiefunctie waarmee externe gebruikers accounts konden aanmaken.
De datalek betrof een klein deel van de gearchiveerde klantgegevens, waaronder namen, zakelijke e-mailadressen, telefoonnummers en zakelijke adressen. Voor sommige klanten waren ook persoonlijke identificatiedocumenten zoals rijbewijzen, paspoorten en energierekeningen zichtbaar. DigiCert is begonnen met het informeren van de getroffen klanten en onderzoekt nog welke identiteitsdocumenten precies zijn blootgesteld.
Volgens een incidentrapport op Mozilla's Bugzilla-platform werd het probleem aanvankelijk niet als een datalek gezien, maar als een accountcreatie-issue. Pas in oktober 2026 werd bevestigd dat tussen 27 juni en 2 juli 2026 een onbevoegd account klantgegevens in alleen-lezen modus heeft ingezien. DigiCert heeft sindsdien de toegang tot het systeem beperkt, de zelfregistratie uitgeschakeld en extra toegangscontroles ingevoerd.
DigiCert benadrukt dat hun certificeringsdiensten, waaronder CertCentral en DigiCert ONE, niet zijn gecompromitteerd en dat klantlogingegevens en uitgegeven certificaten veilig zijn gebleven. De onbevoegde accounts konden geen gegevens wijzigen, certificaatvalidaties goedkeuren of certificaten uitgeven.
