DigiCert deixou arquivo de identidades exposto por 16 meses
DigiCert
claimed on · assessed on
A DigiCert confirmou, em relatório à Mozilla e em notificações a clientes, que um sistema interno de arquivo ficou acessível pela internet desde fevereiro de 2025 e que uma conta não autorizada leu parte dele entre 27/06 e 02/07/2026. Não há ator, não há alegação de extorsão e a empresa não informa quantos clientes foram afetados.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
O incidente é real e confirmado pela própria vítima: houve leitura (somente leitura) de dados arquivados de validação de clientes por uma conta não autorizada, entre 27/06 e 02/07/2026. O selo 'claimed/unverified' do nosso registro estava errado e passa a 'confirmed/real'. Seria desmentido se a DigiCert retratasse o relatório no Bugzilla.
A causa-raiz é falha de governança de mudança, não ação de um adversário sofisticado: a migração de fevereiro de 2025 foi tratada como mudança de infraestrutura, sem revisão de segurança, e removeu o sistema da rede restrita por VPN. Quem leu os dados explorou uma exposição que já existia, sem precisar de técnica avançada.
O pior da resposta foi o intervalo entre o sinal e a ação. A DigiCert viu contas externas em 18/06, recebeu relato do programa de segurança em 21/06 e verificou a criação externa de contas em 24/06. A janela de leitura de dados só começa em 27/06, depois da verificação, e o sistema foi bloqueado só em 02/07. O incidente foi tratado como problema de criação de conta e não como acesso a dados até 12/10.
O volume é desconhecido e não deve ser inferido. A DigiCert chama os dados de 'pequena proporção' do arquivo, mas não dá número de clientes nem de documentos. Qualquer cifra que circule na imprensa não tem origem rastreável nas fontes que li.
Não há evidência de ligação com o incidente de abril de 2026 (engenharia social no suporte, certificados de assinatura de código roubados, atribuído por pesquisadores ao cluster CylindricalCanine). A DigiCert e a imprensa tratam os casos como separados, e nenhuma fonte liga os dois. Seria desmentido se a DigiCert ou um pesquisador mostrasse infraestrutura ou conta em comum.
A alegação de que o invasor 'contornou MFA' (Cyber Daily) é provavelmente imprecisa. O relatório da DigiCert lista a exigência de MFA no sistema como correção posterior, e uma análise secundária descreve conta autorregistrada sem MFA. O mais provável é que o sistema não exigia MFA para essas contas.
Analysis
O que a DigiCert diz, no relatório completo ao programa de CAs da Mozilla e nas notificações a clientes, é o seguinte. Um sistema interno de negócio, usado para arquivar informações que representantes de clientes enviam para validar identidade, foi movido em fevereiro de 2025 de uma rede protegida por VPN para outra zona de disponibilidade, e com isso ficou acessível pela internet. A DigiCert afirma que a mudança foi tratada como mudança de infraestrutura e não de segurança, o que dispensou revisão e aprovação mais detalhadas. Não há ator reivindicando o caso. Nenhum grupo de ransomware ou fórum de vazamento aparece nas fontes que li.
A evidência primária é o relatório da própria DigiCert, que é fonte A. Ele descreve acesso somente leitura, sem efeito sobre validações, emissão ou conteúdo de certificados. A DigiCert afirma que CertCentral, DigiCert ONE e a operação da CA não foram afetados, e que credenciais e certificados emitidos continuam seguros. Esses pontos são declaração da vítima. Não encontrei verificação independente, e não há motivo técnico para duvidar deles, já que o relatório vai a um programa de raiz que audita a CA.
O ponto que a cobertura passa batido é a cronologia da resposta. A DigiCert viu contas externas em 18/06 e concluiu que contas sem aplicação não alcançavam dados, o que estava errado: havia falha de autorização, e essas contas liam o arquivo. Em 21/06 um relato do programa de segurança apontou a criação externa de contas, e em 24/06 a DigiCert o verificou. A leitura de dados que a empresa conseguiu reconstruir ocorreu entre 27/06 e 02/07, portanto depois da verificação. O bloqueio só veio em 02/07. A DigiCert só suspeitou de acesso a dados em 12/10 e o confirmou em 19/10, mais de três meses depois do fim da janela. Não sabemos se o relatório de 21/06 e a conta que leu os dados têm alguma relação. A DigiCert diz apenas 'conta não autorizada'.
Sobre o ator, sabemos muito pouco. Não há alegação, resgate, amostra ou venda. A leitura durou cerca de cinco dias, e o relatório não diz quantos arquivos ou clientes foram lidos. 'Pequena proporção do arquivo' é um qualificador sem denominador. O sistema ficou exposto por mais de 16 meses (alguns veículos dizem 17, contagens diferentes do mesmo intervalo de fevereiro de 2025 a julho de 2026), mas a janela de leitura comprovada é de cinco dias. O relatório não deixa claro, nas fontes que consegui ler, se os logs permitem descartar acessos anteriores a 27/06. Essa é a pergunta central do caso.
Há divergências menores na cobertura. A Cyber Daily afirma que os atacantes contornaram o MFA. O relatório da DigiCert lista a exigência de MFA como correção, e uma análise secundária descreve conta autorregistrada sem MFA. A leitura mais provável é que o MFA não era exigido, não que foi burlado, mas essa é inferência minha. O The Record diz que o acesso ocorreu 'durante o verão' e a DigiCert aponta 27/06 a 02/07, o que é coerente. Todos os veículos que li (The Record, The Register, BleepingComputer, SecurityWeek) reproduzem o mesmo relatório e as notificações. Isso dá uma fonte primária e muitas repetições, não corroboração independente. Não achei apuração própria.
Correção do nosso registro: o selo 'claimed' e o veredito 'unverified' estavam errados, porque a vítima confirmou o incidente. O nome da organização no registro era a manchete do The Record e foi trocado por 'DigiCert'. A data 2026-11-06 é a data de cobertura. O acesso ocorreu em 27/06–02/07/2026 e a confirmação interna em 19/10/2026. Não usei 'inflated' nem 'recycled', porque não há alegação de volume nem base antiga em jogo.
Não encontrei manifestação de regulador (ANPD, ICO, autoridades estaduais dos EUA ou outras) nas fontes que consegui abrir. A busca por isso ficou incompleta, então a ausência não prova que não houve notificação. O caso é de exposição sem ator identificado: o controle que falhou foi a revisão de mudança, e a falha mais grave de governança foi tratar contas desconhecidas como problema de cadastro.
Timeline
- 02 Apr 2026Incidente separado: um ator usou o chat de suporte para entregar um arquivo malicioso e acessou códigos de inicialização de certificados EV de assinatura de código. A DigiCert revogou 60 certificados. Não há elo comprovado com o caso atual.
- 18 Jun 2026A equipe da DigiCert nota contas externas ao quadro no sistema e conclui que, sem aplicação atribuída, elas não acessam dados. Um firewall de aplicação passa a bloquear novos cadastros.
- 21 Jun 2026O programa de segurança gerenciado da DigiCert recebe relato de que é possível criar contas por acesso externo.
- 24 Jun 2026A DigiCert verifica que a criação externa de contas é possível.
- 27 Jun 2026Começa a janela em que uma conta não autorizada lê dados arquivados, estabelecida só depois pela investigação.
- 02 Jul 2026A DigiCert bloqueia a conta não autorizada e aplica correções. A janela de acesso termina.
- 12 Oct 2026A DigiCert passa a suspeitar de acesso a dados arquivados e abre investigação adicional.
- 17 Oct 2026A DigiCert registra como concluída a ação corretiva que valida o sistema retornando 401 a acessos não autorizados.
- 19 Oct 2026A DigiCert confirma o acesso aos dados e o classifica como evento reportável.
- 20 Oct 2026A DigiCert registra o relatório preliminar no programa de CAs da Mozilla (Bugzilla 2084460).
- 06 Nov 2026A imprensa começa a cobrir o caso depois que clientes compartilham e-mails de notificação. É a data que consta em nosso registro, mas ela marca a divulgação pública, não o incidente.
Data involved
Impact
Estão afetados clientes empresariais da DigiCert cujos representantes enviaram dados para validação de identidade e que estavam no arquivo lido. A DigiCert diz que o vazamento foi uma 'pequena proporção' do arquivo, sem número. Os dados confirmados são nome, e-mail corporativo, telefone e endereço comercial e, quando o cliente os forneceu, documento de identidade (CNH, passaporte, conta de utilidade com nome e endereço). Na prática, há risco de phishing direcionado a contatos de validação de certificados e de fraude de identidade com os documentos. A DigiCert afirma que não houve emissão, modificação ou revogação de certificados ligada ao evento e que credenciais não foram expostas. Não há registro de uso indevido dos dados.
Technical links
Recommendations
- Clientes da DigiCert que receberam a notificação: trate documentos de identidade enviados à validação como expostos. Avise os titulares, monitore uso indevido e avalie, caso a caso, se algum documento ainda é válido e substituível.
- Espere phishing e vishing que se passem pela DigiCert e visem contatos de validação, financeiro e administradores de certificados. Confirme qualquer pedido de ação (reemissão, validação, pagamento) por canal já cadastrado, nunca por link ou telefone da mensagem.
- Monitore os logs de Certificate Transparency dos seus domínios para detectar emissão inesperada. A DigiCert diz que não houve emissão ligada ao evento, mas a verificação é barata e independente.
- Inclua a mudança de rede e de zona de disponibilidade no processo de revisão de segurança, com checagem obrigatória de exposição externa depois de cada migração. Foi a ausência dessa revisão que originou o caso.
- Mantenha varredura externa contínua do seu espaço de IPs e domínios, para encontrar sistemas internos que passaram a responder à internet depois de uma mudança.
- Trate conta desconhecida em sistema interno como incidente até que os logs provem que não houve leitura de dados. Desative autorregistro, exija MFA para toda conta e verifique se existe falha de autorização que dê acesso a dados a contas sem aplicação atribuída.
- Garanta retenção de logs de acesso a dados suficiente para reconstruir quem leu o quê durante todo o período de exposição possível, não só nas últimas semanas.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
Quantos clientes, pessoas e documentos foram lidos pela conta não autorizada: só a DigiCert pode responder, com número no comunicado ou em atualização do relatório.
Se houve acesso aos dados antes de 27/06/2026, durante os 16 meses de exposição: depende de a DigiCert dizer qual a retenção de logs e como descartou acessos anteriores.
Quem controlava a conta e se havia relação com o relato de 21/06 do programa de segurança: só a DigiCert pode esclarecer, assim como se houve extração, cópia ou apenas leitura de registros.
Se os dados foram usados, vendidos ou publicados: depende de monitoramento de fóruns e de relatos de fraude de clientes, que não encontrei até agora.
Se há notificação a reguladores e a quais: nenhuma fonte que li menciona isso, e só a DigiCert ou o regulador podem confirmar.
Por que o relatório de 21/06, verificado em 24/06, não levou a revisão de acesso a dados antes de outubro: a DigiCert pode explicar na análise de causa-raiz ou em atualização do relatório.
O relatório completo no Bugzilla só apareceu para mim em trechos. Recomendo ler o texto integral antes de qualquer atualização deste relatório.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.