RespostasPublicado23 fontes
Falha após migração permitiu acesso a dados arquivados de clientes da DigiCert
Uma migração em fevereiro de 2025 deixou um sistema interno da DigiCert, antes protegido por VPN, acessível pela internet. Uma falha de autorização permitiu que uma conta criada por cadastro próprio consultasse dados arquivados entre 27 de junho e 2 de julho de 2026.[1][11][24] Os registros incluíam dados de contato...
Publicado porEditado com GPT-6 LunaImagens geradas com GPT Image 2
Resposta de pesquisa
Principais conclusões
- Uma migração em fevereiro de 2025 deixou um sistema interno da DigiCert, antes protegido por VPN, acessível pela internet.
- Uma falha de autorização permitiu que uma conta criada por cadastro próprio consultasse dados arquivados entre 27 de junho e 2 de julho de 2026.[1][11][24]
- Os registros incluíam dados de contato comercial; uma pequena parcela também continha documentos de identidade.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What does DigiCert’s customer-data breach disclosure, reported on November 6, 2026, reveal about the February 4, 2025 server migration that. Article summary: DigiCert’s disclosure describes a customer-data breach caused by an accidentally internet-exposed archive and an authorization flaw—not a confirmed compromise of its certificate-issuance systems.[1][3] The available evid. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, click
Uma migração de servidores em fevereiro de 2025 deixou acessível pela internet um sistema interno da DigiCert que antes era protegido por VPN. Uma falha de autorização permitiu que uma conta não autorizada consultasse registros arquivados de clientes entre 27 de junho e 2 de julho de 2026. A empresa afirmou que o incidente não comprometeu seus serviços de emissão de certificados.1
11
24
Como a falha aconteceu
A migração transferiu um sistema interno para outro segmento de rede e, sem intenção, removeu a barreira da VPN que limitava o acesso. O sistema tinha um recurso de cadastro próprio, que permitia criar contas, mas não deveria dar a usuários externos acesso ao arquivo de dados.3
5
11
O problema estava nas permissões: contas sem vínculo com uma aplicação ainda podiam ler registros arquivados. Segundo relatos, essas contas criadas por cadastro próprio não exigiam autenticação multifator (MFA), ao contrário das contas de funcionários.11
25 A ausência de MFA fazia parte da fragilidade dos controles de acesso; as fontes descrevem uma falha de autorização, não uma invasão dos sistemas de emissão de certificados.
11
24
O que aconteceu — e quando
- Fevereiro de 2025: a migração tornou o sistema interno acessível pela internet. Uma das cronologias aponta 4 de fevereiro como a data da mudança.
3
5
- 18 de junho de 2026: funcionários identificaram contas que não pertenciam à DigiCert. A avaliação inicial concluiu, incorretamente, que contas sem vínculo com uma aplicação não conseguiriam acessar dados. Relatos também dizem que um firewall de aplicação bloqueou a criação de novas contas por esse caminho externo.
26
- 21 de junho: segundo o relatório de incidente, a DigiCert determinou que o sistema estava acessível externamente e que uma conta sem vínculo com aplicação havia sido criada. Relatos também mencionam um alerta de pesquisador de segurança por volta dessa data.
18
22
24
- De 27 de junho a 2 de julho: a empresa confirmou posteriormente que uma conta não autorizada acessou parte dos dados arquivados nesse período.
1
- 2 de julho: a DigiCert aplicou uma correção de autorização para restringir a criação de contas e impedir que contas sem vínculo com aplicação acessassem os dados arquivados.
- 19 de outubro: a empresa confirmou o acesso não autorizado aos dados e classificou o caso como um incidente reportável.
A cronologia mostra que havia dois problemas distintos: impedir novos cadastros e bloquear o acesso ao arquivo por contas já existentes sem vínculo com uma aplicação. A correção de 2 de julho tratou do acesso, mas a DigiCert só confirmou que os dados haviam sido consultados em 19 de outubro — mais de três meses depois do fim do período de acesso identificado.18
24
Quais informações foram acessadas
A maioria dos registros consultados continha dados de contato comercial: nomes, e-mails de trabalho, telefones e endereços comerciais. Uma pequena parcela também incluía documentos de identidade, como passaportes, carteiras de motorista ou contas de serviços públicos. Alguns representantes haviam fornecido esses documentos para validar a própria identidade.1
12
24
As informações disponíveis não indicam quantos clientes foram afetados. A DigiCert começou a notificá-los, mas as fontes não especificam quantos avisos foram enviados nem o andamento da análise dos documentos de identidade expostos.6
7
O que a DigiCert afirmou não ter sido afetado
A empresa disse que seus serviços de autoridade certificadora, o CertCentral, o DigiCert ONE, as credenciais dos clientes e os certificados emitidos não foram comprometidos.9 O incidente envolveu registros arquivados em um sistema interno de negócios; não foi relatada uma invasão dos sistemas de emissão de certificados.
1
24
As informações disponíveis não detalham a situação de todos os recursos de validação, nem permitem concluir quais auditorias e revisões de alertas foram realizadas. Esses pontos não devem ser inferidos a partir da confirmação de que a emissão de certificados e os serviços citados não foram afetados.
Por que a confirmação demorou meses
A avaliação inicial se concentrou na existência de contas não autorizadas e partiu da premissa de que contas sem vínculo com uma aplicação não poderiam acessar dados. Essa premissa estava errada: o modelo de autorização ainda permitia que essas contas lessem o arquivo.5
24
As fontes confirmam que a DigiCert percebeu o problema de acesso em junho, aplicou uma correção em julho e confirmou a consulta aos dados em outubro. Elas não trazem detalhes suficientes para reconstruir todas as etapas da investigação ou explicar completamente por que a confirmação só ocorreu em outubro. O número de clientes afetados e o status final das notificações e da análise dos documentos também não foram especificados nas informações disponíveis.6
24
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
As pessoas também perguntam
Qual é a resposta curta para "Falha após migração permitiu acesso a dados arquivados de clientes da DigiCert"?
Uma migração em fevereiro de 2025 deixou um sistema interno da DigiCert, antes protegido por VPN, acessível pela internet.
Quais são os pontos-chave para validar primeiro?
Uma migração em fevereiro de 2025 deixou um sistema interno da DigiCert, antes protegido por VPN, acessível pela internet. Uma falha de autorização permitiu que uma conta criada por cadastro próprio consultasse dados arquivados entre 27 de junho e 2 de julho de 2026.[1][11][24]
O que devo fazer a seguir na prática?
Os registros incluíam dados de contato comercial; uma pequena parcela também continha documentos de identidade.