A DigiCert, digitális tanúsítványokat kibocsátó hitelesítésszolgáltató vállalat, adatvédelmi incidenst jelentett be, amelynek során illetéktelenek fértek hozzá egy külső hálózatból elérhetővé vált belső üzleti rendszer adatbázisához. Az érintett információk között ügyfelek nevei, üzleti e-mail-címei, telefonszámai, valamint személyazonosító dokumentumok, például jogosítványok, útlevelek és közüzemi számlák is szerepelhettek. A vállalat szerint a tanúsítványkiadási szolgáltatások és az ügyfelek bejelentkezési adatai nem érintettek.
A Utah államban működő DigiCert a Mozilla Bugzilla platformján ismertette az incidenst. A vállalat szerint a probléma egy 2025 februárjában végrehajtott infrastruktúra-változtatással kezdődött, amelynek során egy belső üzleti rendszert áthelyeztek egy VPN-hozzáférésre korlátozott hálózatból, aminek következtében a rendszer külső hálózatokból is elérhetővé vált.
A DigiCert 2026. június 21-én állapította meg, hogy az üzleti rendszer (nem szándékosan) külső hálózatból is elérhetővé vált, és egy nem hozzárendelt felhasználói fiók is létrejött. A vállalat június 27-től kezdődően észlelt adatbázis-hozzáféréseket, a problémát pedig július 2-ig megszüntette. Az incidenst október 19-én minősítette bejelentésköteles eseménynek.
A vállalat nem adott tájékoztatást arról, hogy hány ügyfél adatai kerülhettek illetéktelenekhez. A DigiCert szóvivője a Recorded Future Newsnak elmondta, hogy jelenleg folyamatban van az ügyfelek tájékoztatása. Az esetről értesítették a bűnüldöző hatóságokat, a DigiCert pedig továbbra is együttműködik velük a vizsgálatban.
A cég hangsúlyozta, hogy azok a támadók, akik hozzáfértek az adatbázishoz, nem tudtak tanúsítványokat kibocsátani, illetve más műveleteket végrehajtani. A DigiCert tanúsítványkiadási szolgáltatásai zavartalanul működtek, és az ügyfelek bejelentkezési adatai sem kompromittálódtak.
Az incidens bejelentését a Mozilla, a Google Chrome, a Microsoft és az Apple által meghatározott szabályok tették szükségessé. A DigiCert a rendszer áthelyezését infrastruktúra-módosításként kezelte, és nem tekintette olyan változtatásnak, amely biztonsági felülvizsgálatot is igényelt volna. Emiatt elmaradt az a részletesebb felülvizsgálat és jóváhagyás, amely egy biztonsági változtatás esetén szükséges lett volna. A vállalat emellett azt is elismerte, hogy a rendszer nem rendelkezett megfelelő riasztásokkal az új fiókok létrehozásának, illetve a belső végpontokról érkező kérések mennyiségének figyelésére.
Az incidens a közösségi médiában is aggodalmat váltott ki, miután több ügyfél megosztotta a DigiCerttől kapott értesítő e-maileket. A bejegyzésekben elsősorban annak kockázatát emelték ki, hogy a kiszivárgott személyazonosító dokumentumok konkrét digitális tanúsítványokhoz kapcsolhatók.