DigiCert waarschuwt klanten na inzage in klantarchief

DigiCert stuurt klanten meldingen over ongeautoriseerde inzage in het klantarchief, meldt BleepingComputer; een account las tussen 27 juni en 2 juli 2026 contactgegevens en soms identiteitsdocumenten.

Organisaties die voor certificaatvalidatie identiteitsdocumenten bij DigiCert aanleverden, moeten hun eigen inzendingen terugzoeken. Welke vertegenwoordigers stuurden een paspoort, rijbewijs, energierekening of vergelijkbaar bewijs in, en bij welke aanvraag? DigiCert zegt dat actieve certificaten niet vervangen hoeven te worden. De open vraag is welke persoonsgegevens van welke medewerkers of contactpersonen in het archief stonden.

Een migratie maakte het archief bereikbaar

DigiCert meldt dat het bedrijf op 4 februari 2025 een intern archiefsysteem uit een VPN-afgeschermd netwerk naar een extern bereikbare zone verhuisde. Een functie voor zelfregistratie was bedoeld voor andere toepassingen van hetzelfde accountbeheersysteem. Na de migratie konden externe gebruikers via die functie een account op het archiefsysteem aanmaken. Hun accounts kregen geen applicatie toegewezen en vielen daardoor niet onder de eis voor multifactorauthenticatie, maar hadden wel leesrechten op opgeslagen gegevens.

DigiCert zag op 18 juni 2026 accounts van buiten de organisatie en dacht eerst dat die zonder applicatietoewijzing geen gegevens konden lezen. Een melding via het security-onderzoeksprogramma volgde op 21 juni. De toegang tot klantgegevens liep volgens het latere onderzoek van 27 juni tot en met 2 juli, toen DigiCert een autorisatiefix uitbracht. Het bedrijf bevestigde de toegang op 19 oktober als een incident dat volgens de browserprogramma-regels gemeld moest worden. DigiCert schrijft dat het de kwestie aanvankelijk behandelde als een probleem met accountregistratie, niet als toegang tot klantdata.

Het account kon geen gegevens wijzigen, validaties goedkeuren of certificaten uitgeven. DigiCert beperkte nieuwe registraties in juni met een webapplicatiefirewall (WAF) en zette de betrokken hostnamen in juli weer achter VPN-toegang, behalve goedgekeurde endpoints. Het bedrijf schakelde zelfregistratie uit, verplaatste de resterende endpoints naar interne IP-adressen en voltooide in augustus een externe penetratietest. De rapportage noemt nog twee controles die op 6 november klaar moeten zijn: een audit van externe bereikbaarheid en een laatste beoordeling van alarmen voor onverwachte accounts en rechten.

De melding gaat over contactgegevens en soms ID-bewijzen

De meeste opgeslagen informatie bestond uit namen, zakelijke e-mailadressen, telefoonnummers en zakelijke adressen. Bij een kleine minderheid van klantaccounts stond ook een document in het archief, zoals een rijbewijs, paspoort, energierekening of ander bewijs met naam en adres. DigiCert noemt geen totaal van getroffen organisaties, personen of documenten. De aanduiding klein deel beschrijft het aandeel van de totale archiefdata, niet hoeveel informatie er in een afzonderlijk klantdossier stond.

Cloudarchitect Fabian Bader schreef op 4 november dat DigiCert hem had gewaarschuwd voor zijn persoonsgegevens en mogelijk ook de verificatiedocumenten die hij voor een certificaat had ingediend. Dat is één ontvangen melding, geen maat voor de totale groep. De openbare berichtgeving zegt dat DigiCert nog documenten beoordeelt om vast te stellen wie aanvullend bericht krijgt.

DigiCert zegt dat zijn certificaatautoriteit, CertCentral en DigiCert ONE niet zijn geraakt. Ook klantinloggegevens en uitgegeven certificaten bleven veilig en geldig. Het bedrijf zegt dat klanten geen actie hoeven te nemen voor actieve certificaten. Voor de organisatie die identiteitsbewijzen instuurde, blijft het dus een vraag over persoonsgegevens in het archief, los van de geldigheid van de certificaten.

Andere certificaatautoriteiten melden andere archiefproblemen

Dezelfde openbare Mozilla-tracker bevat een melding van TWCA over ongeautoriseerde toegang tot een registratie-server, zonder vastgestelde misuitgifte van certificaten. D-Trust beschrijft een ander soort incident: bij een migratie via de gedelegeerde registratieautoriteit van E.ON SE gingen historische identiteitsvalidatierecords verloren. Het volledige rapport noemt 323.305 verloren logregels en certificaten uit 2015 tot 2022 die inmiddels zijn verlopen.

Die meldingen beschrijven verschillende gevolgen. DigiCert meldt dat een account klantgegevens kon lezen, TWCA onderzoekt ongeautoriseerde servertoegang en D-Trust rapporteert verloren bewijsstukken. De rapporten beschrijven geen gezamenlijke oorzaak. Gezamenlijk laten ze wel zien dat klantgegevens en validatiebewijzen in ondersteunende CA-systemen buiten de certificaatuitgifte zelf kunnen staan.

Klanten moeten hun eigen inzendingen terugzoeken

Begin met de teams die certificaten bij DigiCert aanvragen of verlengen. Zoek vervolgens per account en aanvraag op welke vertegenwoordigers documenten hebben aangeleverd, welke soorten bewijs zijn ingestuurd en of die stukken nog in het eigen personeels- of klantdossier staan. Vergelijk die inventaris met de melding van DigiCert en vraag de leverancier welke records binnen de toegangsperiode vallen. De openbare rapportage bevat geen namenlijst of totaal waarmee een organisatie dit zelf kan afvinken.

Als een organisatie voor deze gegevens verwerkingsverantwoordelijke is, moet zij zelf beoordelen of sprake is van een meldingsplichtig datalek. De AP stelt dat de verantwoordelijke een meldingsplichtig lek binnen 72 uur meldt zodra zij redelijk zeker weet dat persoonsgegevens zijn geraakt. Een verwerker mag namens haar melden met schriftelijke machtiging, maar de verantwoordelijkheid blijft bij de organisatie. De organisatie beoordeelt ook of betrokkenen moeten worden geïnformeerd.

IDScan meldde mogelijke toegang tot namen en rijbewijsnummers in zijn cloud, bij een afzonderlijke leverancier van identiteitscontrole. Bij Revolut bleven historische EER-klantgegevens van vóór de modelwijziging in december 2023 bij broker DriveWealth staan. Zulke dossiers laten zien waarom een leveranciersmelding moet worden vergeleken met de eigen registratie van wat is ingestuurd en waar het is bewaard.

De laatste DigiCert-versie van het rapport vermeldde twee controles met een datum van 6 november: een audit op externe toegang en een laatste beoordeling van accountmeldingen. Totdat de uitkomst daarvan en de omvang van het klantarchief nader zijn vastgesteld, begint de beoordeling voor organisaties bij hun eigen aanvraag- en personeelsdossiers. De certificaten kunnen geldig blijven terwijl die privacycontrole nog loopt.