Kebocoran Data DigiCert Paparkan Informasi Pelanggan dan Dokumen Identitas
DigiCert mengungkap akses tanpa izin ke sistem internal yang menyimpan arsip informasi pelanggan. Insiden bermula ketika migrasi server tanpa sengaja membuat sistem tersebut dapat dijangkau dari internet. Menurut DigiCert, akses itu mencakup sebagian kecil arsip, termasuk data kontak bisnis dan, dalam sejumlah kasus, dokumen identitas yang diserahkan untuk verifikasi.
Migrasi server membuka akses ke sistem internal
Pada 4 Februari 2025, DigiCert memindahkan sistem dari segmen jaringan yang hanya bisa dijangkau melalui VPN ke zona infrastruktur lain. Perpindahan tersebut membuat fitur pendaftaran mandiri yang ditujukan untuk aplikasi lain ikut dapat diakses dari luar. Akun yang dibuat lewat jalur itu tidak melewati autentikasi multifaktor (MFA) yang biasanya diwajibkan perusahaan.
Meski tidak ditetapkan ke aplikasi tertentu, akun tersebut tetap bisa membaca arsip akibat kelemahan otorisasi. DigiCert menemukan akun dari luar perusahaan pada Juni 2026, tetapi awalnya menyimpulkan akun itu tidak memiliki akses ke data. Perusahaan menutup jalur pendaftaran dan memperbaiki otorisasi pada 2 Juli.
Akses ke arsip baru terkonfirmasi pada Oktober
Penyelidikan lanjutan pada 19 Oktober mengonfirmasi bahwa satu akun tanpa izin telah membaca data antara 27 Juni dan 2 Juli 2026. Informasi yang diakses terutama mencakup nama, alamat email bisnis, nomor telepon, dan alamat bisnis. Sebagian kecil catatan juga memuat dokumen yang diberikan untuk membuktikan identitas atau alamat, seperti paspor, surat izin mengemudi, atau tagihan utilitas.
DigiCert mulai mengirim pemberitahuan kepada pelanggan terdampak. Perusahaan masih meninjau dokumen identitas untuk menentukan siapa saja yang perlu diberi tahu. Jumlah individu yang terdampak belum dipublikasikan.
DigiCert menyatakan operasi sertifikat tetap berjalan
Akun tanpa izin hanya memiliki akses baca. Menurut DigiCert, akun itu tidak dapat mengubah catatan, menyetujui validasi, atau menerbitkan sertifikat. Perusahaan menyatakan layanan otoritas sertifikat, CertCentral, dan DigiCert ONE tidak terdampak. Kredensial login pelanggan dan sertifikat yang telah diterbitkan juga tetap aman, sehingga pelanggan tidak perlu mengambil tindakan terhadap sertifikat aktif akibat insiden ini.
Sumber: DigiCert melalui Mozilla Bugzilla – DigiCert: Unauthorized access to business system
