DigiCert 数据泄露暴露客户信息和身份文件

DigiCert 警告称，一次服务器迁移错误地将一个内部业务系统暴露在互联网上，导致未经授权的访问，泄露了客户信息和身份文件。

这家证书颁发机构表示，泄露影响了其存档客户数据的一小部分，包括姓名、企业电子邮箱地址、电话号码和企业地址。

对某些人而言，暴露的记录还包含个人身份文件，例如驾照、护照和水电账单。

DigiCert 已开始向受影响的客户发送数据泄露通知，云架构师 Fabian Bader 在 X 上分享了该通知的副本。

"感谢 @digicert，你的数据泄露 '仅限于' 我的全部个人身份信息，以及我可能为证书提交的任何验证文件，" Bader 写道。

在通知中，DigiCert 表示仍在审查身份文件以确定受影响者，并将在审查完成后通知他们。

"所涉信息仅限于与 DigiCert 共享的姓名、企业电子邮箱地址、电话号码和企业地址，如果提供过，可能还包括身份文件，例如驾照、护照、水电账单或其他包含姓名和地址的文件，" 该数据泄露通知写道。

Mozilla 的 Bugzilla 平台上的一份事件报告解释说，2025 年 2 月的一次服务器迁移错误地将一个此前仅可通过 VPN 访问的内部业务系统暴露在互联网上。

暴露的系统包含一个面向其他应用的自注册功能，允许外部用户创建账户。

尽管这些账户未被分配到任何特定应用，但一个授权缺陷使它们能够以只读模式访问存档的客户信息。

DigiCert 于 2026 年 6 月首次在暴露的系统上发现未经授权的账户，但最初认定它们无法访问客户信息，因为它们未被分配到任何应用。

该公司随后通过其托管安全研究计划收到一份报告，警告外部用户可以在该系统上创建账户。

DigiCert 部署了安全修复以限制对该系统的访问并解决该授权缺陷，但当时并未意识到存档数据已被访问。

直到 10 月 19 日，进一步调查才确认一个未经授权的账户在 2026 年 6 月 27 日至 7 月 2 日之间访问了客户信息。

"该事件最初被作为账户创建问题而非数据访问事件处理，" DigiCert 在其报告中承认。

DigiCert 表示，该未经授权的账户仅拥有只读访问权限，无法修改记录、批准证书验证或签发证书。

该公司现已限制对受影响系统的访问、禁用自注册，并增加了额外的访问控制。

DigiCert 表示，其证书颁发机构服务、CertCentral 和 DigiCert ONE 平台未被入侵，客户登录凭据和已签发的证书仍然安全。

BleepingComputer 已联系 DigiCert 以进一步询问该事件，包括有多少人受到影响，如果收到回复将更新报道。