AnswersPublished23 sources
DigiCert-lek: servermigratie zette klantarchief open voor onbevoegden
Een servermigratie in februari 2025 haalde de VPN afscherming weg van een intern DigiCert systeem. De onbevoegde toegang vond plaats tussen 27 juni en 2 juli 2026.
Gepubliceerd doorBewerkt met GPT-6 LunaAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- Een servermigratie in februari 2025 haalde de VPN afscherming weg van een intern DigiCert systeem.
- De onbevoegde toegang vond plaats tussen 27 juni en 2 juli 2026. De gegevens omvatten vooral zakelijke contactinformatie; bij een kleine groep zaten ook identiteitsdocumenten in het archief.
- DigiCert zegt dat zijn certificaatdiensten, CertCentral, DigiCert ONE en uitgegeven certificaten niet zijn getroffen.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does DigiCert’s customer-data breach disclosure, reported on November 6, 2026, reveal about the February 4, 2025 server migration that. Article summary: DigiCert’s disclosure describes a customer-data breach caused by an accidentally internet-exposed archive and an authorization flaw—not a confirmed compromise of its certificate-issuance systems.[1][3] The available evid. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, click
Een servermigratie in februari 2025 maakte een intern DigiCert-systeem, dat eerder alleen via een VPN bereikbaar was, toegankelijk via internet. Een functie voor zelfregistratie en een fout in de toegangsrechten maakten het vervolgens mogelijk om gearchiveerde klantgegevens te lezen. DigiCert zegt dat een onbevoegde account tussen 27 juni en 2 juli 2026 toegang had tot een deel van die gegevens. De certificaatuitgifte van het bedrijf werd volgens DigiCert niet geraakt.1
11
24
Hoe het lek ontstond
Bij de migratie werd een intern systeem naar een ander netwerksegment verplaatst. Daarbij verdween onbedoeld de VPN-afscherming die de toegang beperkte. Het systeem bood gebruikers de mogelijkheid zelf een account aan te maken, maar die functie was niet bedoeld om buitenstaanders toegang te geven tot het archief.3
5
11
De kern van het probleem zat in de toegangsrechten: ook accounts waaraan geen applicatie was toegewezen, konden gearchiveerde gegevens lezen. Volgens berichtgeving hoefden zelf aangemaakte accounts geen multifactorauthenticatie (MFA) te gebruiken, anders dan accounts van medewerkers.11
25 Dat ontbrak dus als extra beveiligingslaag, maar de gemelde oorzaak was een fout in de autorisatie. Er is geen sprake van een gemelde MFA-omzeiling waarmee iemand toegang kreeg tot de certificaatuitgifte.
11
24
Tijdlijn: van migratie tot bevestiging
- Februari 2025: Door de migratie werd het interne systeem bereikbaar vanaf internet. Een tijdlijn in de berichtgeving noemt 4 februari als datum van de wijziging.
3
5
- 18 juni 2026: Medewerkers merkten accounts op die niet bij DigiCert hoorden. Een eerste beoordeling concludeerde ten onrechte dat accounts zonder toegewezen applicatie geen gegevens konden inzien. Volgens berichtgeving blokkeerde een webapplicatiefirewall nieuwe accountregistraties via de externe route.
26
- 21 juni: DigiCert zegt dat het vaststelde dat het systeem onbedoeld van buitenaf bereikbaar was en dat er een account zonder applicatietoewijzing was aangemaakt.
24 Berichtgeving noemt rond die tijd ook een melding van een onderzoeker.
18
22
- 27 juni–2 juli: DigiCert stelde later vast dat een onbevoegde account in deze periode een deel van de gearchiveerde gegevens had ingezien.
1
- 2 juli: DigiCert voerde een aanpassing van de toegangsrechten door. Die moest accountaanmaak verhelpen en accounts zonder applicatietoewijzing de toegang tot het archief ontzeggen.
- 19 oktober: DigiCert bevestigde de onbevoegde toegang tot klantgegevens en bestempelde het incident als meldingsplichtig.
De tijdlijn laat twee verschillende problemen zien: het aanmaken van nieuwe accounts blokkeren en voorkomen dat bestaande accounts zonder applicatietoewijzing het archief konden lezen. De aanpassing van 2 juli pakte het toegangsprobleem aan. DigiCert bevestigde pas op 19 oktober dat klantgegevens waren ingezien, ruim drie maanden nadat het gemelde toegangsvenster was afgelopen.18
24
Welke gegevens zijn ingezien?
Het grootste deel van de geraakte gegevens bestond uit zakelijke contactinformatie: namen, zakelijke e-mailadressen, telefoonnummers en zakelijke adressen. Bij een kleine minderheid van de records zaten ook identiteitsdocumenten, zoals paspoorten, rijbewijzen of energierekeningen. Sommige vertegenwoordigers hadden die documenten aangeleverd om hun identiteit te laten controleren.1
12
24
In de beschikbare berichtgeving staat niet hoeveel klanten precies zijn getroffen. DigiCert was begonnen met het informeren van getroffen klanten, maar de bronnen geven geen uitsluitsel over het uiteindelijke aantal meldingen of de voortgang van een beoordeling van de blootgestelde identiteitsdocumenten.6
7
Wat volgens DigiCert niet is geraakt
DigiCert zegt dat zijn certificaatautoriteitsdiensten, CertCentral, DigiCert ONE, klantgegevens voor inlogtoegang en uitgegeven certificaten niet zijn gecompromitteerd.9 Het incident betrof gearchiveerde klantgegevens in een intern bedrijfssysteem; er is geen inbreuk op de certificaatuitgifte gemeld.
1
24
De beschikbare berichtgeving maakt niet duidelijk wat de volledige status is van alle validatiemogelijkheden of van het genoemde onderzoek naar audits en waarschuwingen. Die details kunnen niet worden afgeleid uit de bevestiging dat de certificaatuitgifte en de genoemde diensten buiten schot bleven.
Waarom duurde het maanden voordat de toegang werd bevestigd?
Bij de eerste beoordeling lag de nadruk op de aanwezigheid van onbevoegde accounts. DigiCert ging er toen ten onrechte van uit dat accounts zonder applicatietoewijzing geen klantgegevens konden bereiken. In werkelijkheid konden die accounts het archief wel lezen.5
24
De bronnen laten zien dat DigiCert het toegangsprobleem in juni opmerkte, in juli een oplossing doorvoerde en in oktober bevestigde dat gegevens waren ingezien. Ze bevatten niet genoeg informatie om alle stappen in het onderzoek te reconstrueren of volledig te verklaren waarom die bevestiging tot oktober op zich liet wachten. Ook het aantal getroffen klanten en de volledige status van klantmeldingen en documentbeoordeling zijn in de beschikbare berichtgeving niet bekend.6
24
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "DigiCert-lek: servermigratie zette klantarchief open voor onbevoegden"?
Een servermigratie in februari 2025 haalde de VPN afscherming weg van een intern DigiCert systeem.
What are the key points to validate first?
Een servermigratie in februari 2025 haalde de VPN afscherming weg van een intern DigiCert systeem. De onbevoegde toegang vond plaats tussen 27 juni en 2 juli 2026. De gegevens omvatten vooral zakelijke contactinformatie; bij een kleine groep zaten ook identiteitsdocumenten in het archief.
What should I do next in practice?
DigiCert zegt dat zijn certificaatdiensten, CertCentral, DigiCert ONE en uitgegeven certificaten niet zijn getroffen.