DigiCert : une erreur de migration expose les données et pièces d’identité de clients

Près de 17 mois. C'est le temps pendant lequel un système interne de DigiCert, censé n'être joignable qu'à travers un VPN, a laissé n'importe quel compte créé depuis Internet lire ses archives. Résultat : des données de clients, et parfois leurs pièces d'identité, ont été consultées par un compte non autorisé. Voici ce que l'on sait à propos de cet incident.

DigiCert, l'une des principales autorités de certification à l'échelle mondiale, a été victime d'une fuite de données. Celle-ci concerne les données personnelles de clients, avec notamment les noms, adresses e-mail professionnelles, numéros de téléphone et adresses professionnelles transmis à DigiCert. Pour une minorité de comptes, s'ajoute un document sensible fourni par le client : permis de conduire, passeport, facture d'énergie ou tout autre document susceptible de contenir le nom et l'adresse.

Une migration, une inscription ouverte et un mauvais diagnostic

Le rapport d'incident complet publié par DigiCert revient sur ce qu'il s'est passé, et cela n'a pas commencé récemment. Il faut remonter au 4 février 2025, car c'est là que tout a commencé : une migration d'infrastructure fait passer ce système interne d'un segment réservé au VPN à une zone joignable depuis l'extérieur.

Et le pire dans tout ça, c'est que le système de gestion de comptes embarquait une fonction d'auto-inscription prévue pour d'autres usages. Donc, n'importe qui pouvait créer un compte sur ce système... Rattachés à aucune application, ces comptes échappaient au MFA, mais disposaient quand même d'un accès en lecture seule aux données archivées. Ces mêmes archives ont pu être consultées par un tiers non autorisé.

• 18 juin 2026 : l'équipe interne repère des comptes extérieurs, mais conclut qu'ils n'ont pas accès aux données.

• 21 juin 2026 : le programme de recherche en sécurité de DigiCert signale ce risque.

• 27 juin au 2 juillet 2026 : un compte non autorisé consulte une partie des données archivées.

• 2 juillet 2026 : un correctif renvoie une erreur HTTP 401 à tout compte sans application assignée.

• 19 octobre 2026 : DigiCert confirme l'accès aux données, après avoir commencé à le suspecter le 12 octobre.

Vous l'avez remarqué : la consultation des données a eu lieu après la détection des comptes suspects. DigiCert le reconnaît, l'incident a d'abord été traité comme un problème de création de comptes, pas d'accès aux données. Ce mauvais diagnostic a retardé de trois mois la découverte de la fuite de données...

Alors heureusement, ce compte ne pouvait ni modifier des enregistrements, ni approuver des validations, ni émettre de certificats, assure DigiCert. Donc CertCentral, DigiCert ONE et les services d'autorité de certification ne sont pas affectés, il n'y a donc pas d'incidence sur les certificats émis.

Par contre, le pirate a bien mis la main sur les données personnelles de clients de DigiCert. Le nombre de clients impactés reste inconnu, DigCert évoque seulement une « faible proportion » des données archivées. Quoi qu'il en soit, le risque immédiat est l'hameçonnage ciblé : votre nom, vos coordonnées et le fait que votre entreprise est cliente de DigiCert suffisent pour construire un faux e-mail de renouvellement crédible...

Ajouter IT-Connect à mes
sources préférées

Cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Mon obsession depuis près de 15 ans ? Rendre l'administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu'un métier, l'IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.