DigiCert révèle une fuite de pièces d'identité de clients
L'autorité de certification indique que des comptes créés frauduleusement ont accédé à des passeports et permis de conduire entre le 27 juin et le 2 juillet 2026.
DigiCert a publié un rapport d'incident révélant que des comptes créés irrégulièrement ont accédé à des données clients stockées, dont des passeports et des permis de conduire, entre le 27 juin et le 2 juillet 2026, selon le site spécialisé dailysecu.com. L'autorité de certification précise que les données exposées comprennent également des noms de clients, des adresses e-mail professionnelles, des numéros de téléphone et des adresses d'entreprise.
La chronologie publiée par l'entreprise commence le 18 juin 2026, date à laquelle DigiCert a détecté sur son système métier interne des comptes n'appartenant pas à la société. Le 21 juin 2026, un rapport de vulnérabilité reçu via le programme de recherche en sécurité signalait que des utilisateurs externes pouvaient créer des comptes. Les mesures correctives ont été appliquées le 2 juillet 2026, et DigiCert a confirmé le 19 octobre 2026 que ces comptes avaient bien consulté des données clients.
L'entreprise assure que ses plateformes CertCentral et DigiCert ONE, les identifiants de connexion des clients et les certificats déjà émis n'ont pas été affectés. Aucune révocation ni réémission de certificat n'est donc nécessaire pour les clients.
DigiCert indique avoir désactivé l'auto-enregistrement des comptes externes, restreint l'accès réseau au système interne, réinitialisé les mots de passe des utilisateurs et renforcé la détection d'anomalies. Sur Bugzilla, une commentaire de Mozilla daté du 8 novembre 2026 demandait à l'autorité de certification de divulguer l'ampleur exacte de la fuite.
Un système accessible depuis internet pendant plus de 16 mois
En février 2025, DigiCert avait déplacé un système métier interne jusqu'alors accessible uniquement via VPN ; une erreur de configuration l'a laissé joignable depuis internet pendant plus de 16 mois. L'entreprise avait confirmé en juin 2026 l'existence de comptes non autorisés, sans déterminer dans un premier temps si des données clients avaient réellement été consultées.
En bref
Quelles données clients ont été exposées lors de la fuite chez DigiCert ?
Des pièces d'identité, dont des passeports et des permis de conduire, ainsi que des noms, adresses e-mail professionnelles, numéros de téléphone et adresses d'entreprise.
Les certificats déjà émis doivent-ils être révoqués ?
Non. DigiCert indique que CertCentral, DigiCert ONE, les identifiants de connexion et les certificats existants n'ont pas été affectés.
Quand l'accès aux données a-t-il eu lieu ?
Les comptes créés irrégulièrement ont accédé à des données clients entre le 27 juin et le 2 juillet 2026.