RéponsesPublié23 sources
DigiCert : une faille d’accès a exposé des données clients archivées
Une migration de février 2025 a rendu accessible depuis Internet un système DigiCert auparavant protégé par VPN. Les dossiers concernés contenaient surtout des coordonnées professionnelles ; une petite minorité incluait des pièces d’identité, comme des passeports ou des permis de conduire.[1][12][24] DigiCert affirm...
Publié parModifié avec GPT-6 LunaImages générées avec GPT Image 2
Réponse de recherche
Points clés à retenir
- Une migration de février 2025 a rendu accessible depuis Internet un système DigiCert auparavant protégé par VPN.
- Les dossiers concernés contenaient surtout des coordonnées professionnelles ; une petite minorité incluait des pièces d’identité, comme des passeports ou des permis de conduire.[1][12][24]
- DigiCert affirme que ses services de certification, CertCentral, DigiCert ONE, les identifiants clients et les certificats émis n’ont pas été compromis.[9]
Prompt IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What does DigiCert’s customer-data breach disclosure, reported on November 6, 2026, reveal about the February 4, 2025 server migration that. Article summary: DigiCert’s disclosure describes a customer-data breach caused by an accidentally internet-exposed archive and an authorization flaw—not a confirmed compromise of its certificate-issuance systems.[1][3] The available evid. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, click
Une migration de serveur a rendu accessible depuis Internet un système interne de DigiCert qui était auparavant protégé par VPN. Une faille de contrôle des autorisations a ensuite permis à un compte créé de l’extérieur de consulter des dossiers clients archivés, entre le 27 juin et le 2 juillet 2026. DigiCert affirme que ses services d’émission de certificats n’ont pas été compromis.1
11
24
Une migration, puis une faille d’autorisation
En février 2025, DigiCert a déplacé un système interne vers un autre segment réseau. Le changement a, par inadvertance, supprimé la barrière VPN qui en limitait l’accès. L’application comportait une fonction d’auto-inscription, qui permettait de créer un compte — mais qui n’était pas censée ouvrir l’accès aux archives clients.3
5
11
Le problème se situait dans les autorisations : même sans application attribuée, un compte pouvait lire des données archivées. Selon les informations publiées, les comptes créés par auto-inscription n’étaient pas soumis à l’authentification multifacteur (MFA), contrairement aux comptes du personnel.11
25 Il ne s’agit donc pas d’un contournement de la MFA ayant donné accès à l’émission de certificats : c’est une lacune dans les contrôles d’accès aux archives.
11
24
La chronologie de l’incident
- Février 2025 : la migration rend le système interne accessible depuis Internet. Une chronologie situe le changement au 4 février.
3
5
- 18 juin 2026 : des employés repèrent des comptes qui ne sont pas ceux de DigiCert. Une première évaluation conclut, à tort, que les comptes sans application attribuée ne peuvent pas accéder aux données. Un pare-feu applicatif bloque aussi la création de nouveaux comptes par la voie externe.
26
- 21 juin : selon le rapport d’incident, DigiCert détermine que le système est accessible de l’extérieur alors que cela n’était pas prévu et qu’un compte sans application attribuée a été créé. Des informations font également état d’un signalement d’un chercheur en sécurité à cette période.
18
22
24
- Du 27 juin au 2 juillet : DigiCert établira par la suite qu’un compte non autorisé a consulté une partie des données archivées pendant cette période.
1
- 2 juillet : l’entreprise déploie une correction des autorisations qui traite la création de comptes et interdit l’accès aux archives aux comptes sans application attribuée.
- 19 octobre : DigiCert confirme que des données archivées ont été consultées sans autorisation et classe l’incident comme devant être signalé.
La chronologie fait ressortir deux problèmes distincts : empêcher de nouvelles inscriptions et bloquer l’accès aux archives pour les comptes déjà créés. La correction du 2 juillet a traité le problème d’accès, mais DigiCert n’a confirmé que le 19 octobre que des données clients avaient été consultées — plus de trois mois après la fin de la période d’accès rapportée.18
24
Quelles données ont été exposées ?
La majorité des dossiers consultés contenait des coordonnées professionnelles : noms, adresses électroniques professionnelles, numéros de téléphone et adresses postales. Une petite minorité comprenait aussi des pièces d’identité, comme des passeports, des permis de conduire ou des factures de services publics. Certains représentants avaient transmis ces documents pour vérifier leur identité.1
12
24
Les informations disponibles ne précisent pas le nombre total de clients concernés. DigiCert a commencé à les avertir, mais les sources ne permettent pas d’établir combien de notifications ont finalement été envoyées ni où en est l’examen des pièces d’identité exposées.6
7
Les services que DigiCert dit épargnés
DigiCert affirme que ses services d’autorité de certification, CertCentral et DigiCert ONE, ainsi que les identifiants clients et les certificats émis, n’ont pas été compromis.9 L’incident concerne des dossiers clients archivés dans un système interne : il ne s’agit pas d’une compromission rapportée de l’émission de certificats.
1
24
Les informations disponibles ne permettent pas de confirmer l’état de toutes les capacités de validation ni les détails des vérifications d’audit et d’alertes mentionnées dans certains comptes rendus. Il ne faut pas les déduire de la seule confirmation que l’émission de certificats et les services nommés n’ont pas été touchés.
Pourquoi l’accès aux données a-t-il été confirmé si tard ?
La première évaluation s’est concentrée sur l’existence de comptes non autorisés et a supposé que les comptes sans application attribuée ne pouvaient pas consulter les données. Cette hypothèse était erronée : les règles d’autorisation leur permettaient malgré tout de lire les archives.5
24
Les sources établissent que DigiCert a repéré le problème d’accès en juin, appliqué une correction en juillet, puis confirmé la consultation des données en octobre. Elles ne donnent pas assez de détails pour reconstituer toutes les étapes de l’enquête ni expliquer précisément pourquoi la confirmation a attendu octobre. Le nombre de clients concernés et l’état complet des notifications et de l’examen des pièces d’identité restent également inconnus dans les informations publiées.6
24
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Les gens demandent aussi
Quelle est la réponse courte à « DigiCert : une faille d’accès a exposé des données clients archivées » ?
Une migration de février 2025 a rendu accessible depuis Internet un système DigiCert auparavant protégé par VPN.
Quels sont les points clés à valider en premier ?
Une migration de février 2025 a rendu accessible depuis Internet un système DigiCert auparavant protégé par VPN. Les dossiers concernés contenaient surtout des coordonnées professionnelles ; une petite minorité incluait des pièces d’identité, comme des passeports ou des permis de conduire.[1][12][24]
Que dois-je faire ensuite en pratique ?
DigiCert affirme que ses services de certification, CertCentral, DigiCert ONE, les identifiants clients et les certificats émis n’ont pas été compromis.[9]