Certificaatautoriteit DigiCert lekt id-bewijzen en gegevens van klanten

In dit artikel:

Certificaatautoriteit DigiCert heeft ongeautoriseerde toegang ontdekt tot een intern systeem met gegevens die klanten hadden aangeleverd voor identiteitsverificatie. Het systeem stond aanvankelijk alleen via een vpn open, maar werd op 4 februari 2025 naar een publiek toegankelijk netwerk verhuisd. Bovendien konden onbevoegden accounts aanmaken zonder dat multifactorauthenticatie verplicht was.

DigiCert ontdekte op 21 juni dat het systeem extern bereikbaar was en verhinderde op 2 juli dat nieuwe of niet-toegewezen accounts toegang kregen. Pas op 19 oktober stelde het bedrijf vast dat klantgegevens daadwerkelijk waren ingezien. Het betreft vooral namen, zakelijke e-mailadressen, telefoonnummers en adresgegevens. Bij een kleine minderheid zijn ook kopieën van paspoorten en rijbewijzen, energierekeningen en andere documenten met naam en adres gelekt. DigiCert zegt dat de uitgegeven certificaten niet zijn aangetast en dat het misbruikte account geen certificaten kon uitgeven. Het aantal getroffen klanten is niet bekendgemaakt.