DigiCert ha confirmado una brecha de datos que afecta a un sistema empresarial interno donde se almacenaban datos de contacto de clientes y documentos de identidad. El acceso no autorizado expuso información archivada, incluyendo nombres, direcciones de correo electrónico profesionales, números de teléfono y direcciones comerciales.

Una pequeña minoría de las cuentas de clientes afectadas también contenía pasaportes, licencias de conducir, facturas de servicios públicos u otros documentos que mostraban nombres y direcciones.

La empresa afirmó que el incidente afectó solo a una pequeña proporción de sus datos archivados. Su informe público no proporciona un número total de personas, organizaciones o documentos afectados. DigiCert confirmó el acceso no autorizado a los datos el 19 de octubre de 2026 y presentó su informe preliminar del incidente al día siguiente.

DigiCert señaló que sus servicios de Autoridad de Certificación, CertCentral y DigiCert ONE no se vieron afectados. La compañía aseguró que las credenciales de inicio de sesión de los clientes y los certificados emitidos permanecen seguros.

Los investigadores no encontraron emisiones de certificados, cambios de validación ni actividad de revocación vinculada a la cuenta no autorizada. No necesitas reemplazar los certificados activos debido a este incidente.

Troy Hunt compartió la notificación de DigiCert en X, preguntando: "¿Alguien más ha recibido una de estas de @digicert?". El correo electrónico indicaba que la empresa estaba revisando los documentos de identidad para identificar a las personas afectadas y que te notificarían una vez que la revisión finalizara.

DigiCert Confirma Brecha de Datos

La exposición comenzó con una migración de infraestructura el 4 de febrero de 2025. DigiCert trasladó el sistema empresarial de un segmento de red restringido por una red privada virtual, o VPN, a otra zona de disponibilidad. Ese cambio hizo que, accidentalmente, el sistema interno fuera accesible desde internet sin una revisión de seguridad de su nueva exposición.

Una función de registro de cuentas, destinada a otros usos de la plataforma de gestión de cuentas, también quedó disponible. Las cuentas creadas a través de esa función no estaban cubiertas por la autenticación multifactor requerida para el personal de DigiCert. Aunque estas cuentas no tenían ninguna aplicación asignada, recibieron acceso de solo lectura a la información archivada, revelando un fallo en las comprobaciones de permisos.

Según el informe del incidente de DigiCert, el personal notó cuentas ajenas a DigiCert el 18 de junio de 2026. Una revisión inicial concluyó incorrectamente que las cuentas sin una aplicación asignada no podían acceder a los datos. Un firewall de aplicaciones web bloqueó los nuevos registros a través de la ruta de acceso externa, pero el acceso ya existente siguió siendo una preocupación.

El 21 de junio siguió un informe del programa de investigación de seguridad gestionada de DigiCert. Los ingenieros confirmaron el problema de registro y lanzaron una corrección de autorización el 2 de julio. Más tarde, los investigadores establecieron que el acceso no autorizado a los datos ocurrió entre el 27 de junio y el 2 de julio. Inicialmente, DigiCert trató el problema como un error de creación de cuentas en lugar de un incidente de acceso a datos.

La empresa sospechó por primera vez del acceso a la información archivada el 12 de octubre. Los registros conservados y las auditorías ayudaron a los investigadores a reconstruir la ventana de acceso y vincular la actividad a la cuenta. La cuenta podía leer registros, pero no podía modificarlos, aprobar verificaciones de identidad ni emitir certificados.

Posteriormente, DigiCert desactivó el autorregistro, movió los puntos finales expuestos restantes detrás de una infraestructura de red privada, restableció las contraseñas del sistema empresarial y reforzó la monitorización. También completó una revisión de permisos y exigió la aprobación de seguridad para los cambios de acceso a la red. Los puntos de acción del informe incluyen comprobaciones adicionales sobre la exposición externa y alertas de cuentas.

Esta revelación se refiere a información archivada de clientes, no a operaciones de certificados comprometidas. Difiere de la anterior brecha del sistema de soporte de DigiCert que involucraba certificados de firma de código y del error de validación de DNS de 2024 que requirió el reemplazo de certificados.

En este caso, el fallo central fue permitir que cuentas recién registradas leyeran registros sensibles. La lección declarada por DigiCert es directa: las herramientas internas necesitan comprobaciones de autorización explícitas, incluso cuando se espera que las restricciones de red las protejan.