DigiCert : des comptes auto-créés ont lu des données clients archivées

Comment c'est arrivé

En février 2025, le système a été déplacé « d'un segment réseau restreint par VPN vers une autre zone de disponibilité », ce qui l'a rendu accessible de l'extérieur, avec une fonction d'inscription prévue « pour d'autres usages ». Les comptes créés ainsi n'avaient pas de MFA et étaient en lecture seule par défaut, mais « avaient accès aux données archivées ».[1][2] Vérifié le 8 nov. 2026

Ce qui a été volé

Des noms, adresses e-mail professionnelles, numéros de téléphone et adresses professionnelles, et pour certains clients un document comme un permis de conduire, un passeport ou une facture. DigiCert précise que cet accès ne permettait ni d'écrire des données ni d'émettre des certificats, et que les identifiants et les certificats restent sûrs.[1] Vérifié le 8 nov. 2026

Qui est touché

Les clients de DigiCert dont les dossiers de validation figuraient dans l'archive. Aucun chiffre n'est public ; DigiCert indique avoir contacté les clients concernés et réserve des statistiques aux représentants des programmes racines, sur demande.[1] Vérifié le 8 nov. 2026

Acteur

Non attribué

Chronologie

1. 4 févr. 2025Le système quitte un segment restreint par VPN et devient accessible depuis Internet. [1]
2. 21 juin 2026Un programme de recherche en sécurité signale de possibles créations de comptes externes. DigiCert le traite d'abord comme un simple problème de création de comptes. [1]
3. 27 juin 2026Début de la période, jusqu'au 2 juillet, pendant laquelle les données archivées ont été consultées, selon l'enquête ultérieure de DigiCert. Un correctif d'autorisation est déployé le 2 juillet. [1]
4. 19 oct. 2026DigiCert qualifie l'événement de déclarable, après avoir soupçonné le 12 octobre un accès aux données archivées. Un rapport préliminaire suit le 20 octobre. [1]
5. 24 oct. 2026L'inscription libre est désactivée. DigiCert indique avoir signalé l'incident aux forces de l'ordre. [1]