DigiCert avvisa i clienti dopo la fuga dall'archivio che ha esposto documenti d'identità

DigiCert avvia le notifiche ai clienti

L'avviso precisa che le informazioni esposte si limitano a nomi, indirizzi email aziendali, numeri di telefono e indirizzi di lavoro. Se un cliente aveva fornito una prova d'identità, i dati potevano comprendere anche una patente, un passaporto, una bolletta o un altro documento con nome e indirizzo. L'architetto cloud Fabian Bader ha pubblicato una copia su X.

La violazione riguarda quindi un gruppo ristretto: chi ha acquistato un certificato e caricato documenti d'identità per le verifiche di DigiCert. L'azienda afferma di stare ancora esaminando quei documenti per stabilire chi è stato coinvolto e avviserà gli interessati al termine della verifica. Non ha reso noto quante persone, organizzazioni o documenti siano coinvolti e definisce solo come piccola la parte dell'archivio interessata.

Il post di Bader è diretto. "Grazie @digicert perché la vostra fuga di dati era 'limitata' solo ai miei dati personali completi e potenzialmente a qualsiasi documento di verifica che ho inviato per il mio certificato", ha scritto.

DigiCert ha confermato l'accesso non autorizzato il 19 ottobre 2026 e il giorno successivo ha depositato il rapporto preliminare sull'incidente. L'azienda sostiene che l'account avesse accesso in sola lettura e non potesse modificare i registri, approvare le convalide dei certificati o emettere certificati.

Come una migrazione dei server ha aperto un archivio

All'origine c'è lo spostamento di un server avvenuto il 4 febbraio 2025. Una migrazione dell'infrastruttura ha trasferito un sistema aziendale interno da un segmento di rete raggiungibile solo tramite VPN a una zona di disponibilità accessibile da internet.

Il sistema aveva una funzione di auto-registrazione pensata per altre applicazioni, così gli esterni potevano creare account. A quegli account non era assegnata alcuna applicazione e non erano coperti dall'autenticazione a più fattori che DigiCert richiedeva al personale, ma un difetto di autorizzazione permetteva loro di leggere le informazioni archiviate.

Il personale ha notato account non DigiCert il 18 giugno 2026, ma una prima verifica ha concluso erroneamente che gli account senza applicazione assegnata non potessero raggiungere i dati. Il 21 giugno è arrivato un rapporto del programma di ricerca sulla sicurezza gestita dell'azienda. Gli ingegneri hanno distribuito una correzione dell'autorizzazione il 2 luglio e gli investigatori hanno poi collocato l'accesso non autorizzato nella finestra tra il 27 giugno e il 2 luglio. DigiCert ha sospettato per la prima volta che fossero stati letti dati archiviati il 12 ottobre e ha confermato un incidente notificabile il 19 ottobre. Il rapporto lo ammette: "L'incidente è stato inizialmente gestito come un problema di creazione di account, non come un evento di accesso ai dati".

Il sistema è rimasto raggiungibile da internet dal febbraio 2025 fino alle correzioni di luglio, ma DigiCert colloca l'accesso ai dati confermato solo nella finestra tra il 27 giugno e il 2 luglio. Rescana fa la stessa distinzione: l'azienda non afferma che i dati dei clienti venissero letti dal febbraio 2025 in poi.

Cosa è stato esposto e cosa no

Il rapporto di DigiCert descrive quel gruppo come account che contenevano "ulteriori dati personali sotto forma di un documento fornito dal cliente".

I confini contano per chi ha un certificato in produzione. DigiCert afferma che i suoi servizi di autorità di certificazione, CertCentral e DigiCert ONE non sono stati compromessi e che le credenziali di accesso dei clienti e i certificati emessi restano sicuri. Gli investigatori non hanno trovato attività di emissione, modifica delle convalide o revoca di certificati riconducibile all'account, quindi i clienti non devono sostituire i certificati attivi. Rescana, che ha pubblicato una valutazione dell'incidente il 6 novembre, classifica l'evento come gravità media con ampia portata e afferma che il rapporto di DigiCert non giustifica una sostituzione d'emergenza dei certificati.

Cosa ha cambiato DigiCert e cosa succede ora

DigiCert ha limitato l'accesso al sistema coinvolto, disattivato l'auto-registrazione e aggiunto controlli di accesso. Ha inoltre reimpostato le password dei sistemi aziendali, spostato gli endpoint ancora esposti dietro l'infrastruttura di rete privata e rafforzato il monitoraggio.

Il 15 ottobre sono stati introdotti avvisi a livello applicativo sull'accesso ai file e sul volume delle richieste.

Il rapporto indica tre fattori che hanno contribuito: una modifica di rete fatta senza un'adeguata revisione di sicurezza, un monitoraggio che non copriva l'attività degli account dei sistemi aziendali e un modello di autorizzazione che non prevedeva l'auto-registrazione. La lezione dichiarata è che "l'autorizzazione di un sistema aziendale non deve essere delegata alla sua posizione in rete".

Due interventi correttivi, il controllo dell'esposizione dei server di origine e la revisione degli avvisi automatici sugli account, erano programmati per il completamento il 6 novembre. DigiCert ha detto di poter condividere cifre riassuntive con i programmi dei browser su richiesta, la via attraverso cui un conteggio potrebbe prima o poi diventare pubblico.