Утечка данных DigiCert затронула часть архивной клиентской информации, включая контактные данные и, в отдельных случаях, паспорта, водительские права и счета за коммунальные услуги. Причиной стала не атака на инфраструктуру центра сертификации, а ошибка при миграции сервера: внутреннюю бизнес-систему, прежде доступную только через VPN, случайно открыли в интернете. Для компаний, работающих с TLS-сертификатами и проверкой личности, это неприятное напоминание: изолированная система перестаёт быть изолированной ровно в тот момент, когда меняется её сетевой маршрут.
Инцидент произошёл вокруг архивных данных, а не рабочих платформ DigiCert, сообщает BleepingComputer. Компания утверждает, что сервисы центра сертификации, CertCentral и DigiCert ONE не были скомпрометированы: злоумышленник не получил возможность выпускать сертификаты, подтверждать валидации или менять записи. Учётные данные клиентов и уже выпущенные сертификаты, по версии DigiCert, также не пострадали.
Проблемная миграция состоялась ещё в феврале 2025 года. Внешне доступная система содержала функцию самостоятельной регистрации, предназначенную для интеграции с другими приложениями. Пользователь мог создать аккаунт, но такой аккаунт не был привязан к конкретному приложению. Однако из-за ошибки в авторизации он всё же мог просматривать архивные данные клиентов в режиме чтения.
В перечень потенциально раскрытой информации вошли имя, рабочий адрес электронной почты, телефон и адрес компании. Если клиент загружал документы для подтверждения личности или адреса, в архиве могли оказаться водительское удостоверение, паспорт, счёт за коммунальные услуги либо другой документ с именем и адресом. DigiCert пока продолжает проверку таких файлов и обещает отдельно уведомить тех, чьи удостоверяющие документы действительно были доступны.
Хронология особенно показательна. Несанкционированные аккаунты компания заметила в июне 2026 года, но сначала сочла проблему ограниченной регистрацией: предполагалось, что без привязки к приложению эти учётные записи не видят клиентские сведения. Позже в программу взаимодействия с исследователями безопасности поступило сообщение, что аккаунт можно создать извне. DigiCert закрыла регистрацию и усилила контроль доступа, но на том этапе не установила факт чтения архивных данных.
Только расследование, завершившееся 19 октября, подтвердило, что один неавторизованный аккаунт просматривал клиентскую информацию с 27 июня по 2 июля 2026 года. Компания прямо признала, что сначала рассматривала случай как проблему создания аккаунтов, а не как инцидент с доступом к данным. Количество затронутых людей DigiCert не раскрыла; известно лишь, что речь идёт о небольшой доле архивной базы.
На фоне крупных атак на удостоверяющие центры эта утечка данных DigiCert выглядит менее драматично: не сообщается ни о выпуске мошеннических сертификатов, ни о компрометации ключевой CA-инфраструктуры. Но именно архивные системы часто становятся слабым звеном. Они содержат документы, собранные годами для KYC-проверок и валидации доменов, при этом получают меньше внимания, чем продакшен-панели выпуска сертификатов.
Для российских и международных команд вывод вполне прикладной. При переносе внутренних сервисов недостаточно проверить, открывается ли новый хост и работают ли интеграции. Нужны инвентаризация всех маршрутов доступа, тестирование авторизации отдельно от аутентификации, запрет саморегистрации там, где она не нужна, и аудит фактически доступных наборов данных. Режим read-only не делает инцидент безобидным, если читать можно паспорта и контактные данные сотрудников.
Теперь главный вопрос — насколько полно DigiCert восстановит картину доступа к архиву и сможет ли точно определить владельцев просмотренных документов. Этот случай показывает, что риск в цепочке выпуска сертификата лежит не только в криптографии и защите ключей: иногда достаточно перенести сервер и не заметить, что старая внутренняя граница стала публичной. Подробности инцидента изложены в материале .
