DigiCert : données clients et pièces d'identité exposées par une migration

Un système interne exposé depuis février 2025

DigiCert, autorité de certification, a commencé à envoyer des notifications de violation de données à une partie de ses clients. BleepingComputer l’a rapporté le 5 novembre 2026. L’un des destinataires a publié une copie du courrier sur X.

DigiCert détaille l’origine de l’incident dans un rapport déposé sur Bugzilla, la plateforme de suivi de Mozilla. En février 2025, une migration de serveur a exposé sur Internet un système métier interne, jusque-là accessible uniquement par VPN. Ce système proposait une fonction d’auto-inscription, prévue pour d’autres applications, qui permettait à des utilisateurs extérieurs de se créer un compte. Ces comptes n’étaient rattachés à aucune application. Pourtant, une faille dans la gestion des autorisations leur donnait accès en lecture seule aux données clients archivées.

Un incident d’abord traité comme un problème de comptes

En juin 2026, DigiCert repère des comptes non autorisés sur ce système. L’entreprise estime alors qu’ils ne peuvent pas consulter de données clients, puisqu’ils ne sont associés à aucune application. Un signalement arrive ensuite par son programme de recherche en sécurité : des personnes extérieures peuvent créer des comptes. DigiCert déploie des correctifs pour restreindre l’accès et corriger la faille d’autorisation. Elle n’établit pas, à ce moment-là, que des données archivées ont été consultées.

Le 19 octobre 2026, une enquête complémentaire confirme qu’un compte non autorisé a bien accédé à des informations clients, entre le 27 juin et le 2 juillet 2026. DigiCert le reconnaît dans son rapport : « The incident was initially handled as an account-creation issue rather than a data-access event ». Autrement dit, l’incident a d’abord été traité comme un problème de création de comptes, et non comme un accès à des données. Plus de trois mois séparent donc l’accès de sa confirmation.

Ce qui a été consulté, et ce qui ne l’a pas été

Selon la notification, les informations concernées se limitent aux noms, adresses e-mail professionnelles, numéros de téléphone et adresses professionnelles transmis à DigiCert. Quand le client en avait fourni une, une pièce justificative a aussi pu être exposée : permis de conduire, passeport, facture de service public ou autre document portant un nom et une adresse.

D’après DigiCert, seule une faible part de ses données clients archivées est touchée. Le nombre de personnes concernées n’a pas été communiqué, et BleepingComputer a interrogé l’entreprise à ce sujet. L’examen des pièces d’identité est toujours en cours. Les personnes concernées seront prévenues à son terme.

Le compte non autorisé n’avait qu’un accès en lecture. Il ne pouvait ni modifier des enregistrements, ni approuver des validations de certificats, ni émettre de certificats. DigiCert affirme que ses services d’autorité de certification et ses plateformes CertCentral et DigiCert ONE n’ont pas été compromis. Selon elle, les identifiants de connexion des clients et les certificats émis restent sûrs. L’entreprise a restreint l’accès au système, désactivé l’auto-inscription et ajouté des contrôles d’accès.

Ce que les clients peuvent vérifier

Si vous avez fait valider une identité ou une organisation auprès de DigiCert, vérifiez d’abord si vous avez reçu la notification. Restez attentif à un éventuel second courrier sur les pièces d’identité, puisque cet examen n’est pas terminé.

Avec un nom, un e-mail et un téléphone professionnels et une adresse, on peut rédiger un message ciblé et crédible. Un courriel ou un appel qui se réclame de DigiCert, évoque cet incident ou parle d’une validation de certificat doit être vérifié par vos canaux habituels. N’utilisez pas les liens ou les numéros qu’il contient. Si votre dossier contenait un passeport ou un permis de conduire, suivez les démarches prévues dans votre pays en cas d’exposition d’un document d’identité.

Les certificats n’ont pas été touchés. Ce sont les documents fournis pour en obtenir un qui ont été consultés.