Síntesis
Un cambio de infraestructura dejó accesible desde internet un archivo interno de DigiCert con información de sus clientes. Un tercero creó una cuenta sin autenticación multifactor y consultó parte de esos datos entre fines de junio y comienzos de julio de 2026, pero la empresa recién lo confirmó en octubre.
- El sistema quedó expuesto en febrero de 2025, tras una migración de red.
- Se accedió a nombres, correos, teléfonos y direcciones, y en pocos casos a pasaportes y licencias de conducir.
- DigiCert asegura que no se emitió, modificó ni revocó ningún certificado.
- La empresa no ha revelado cuántos clientes resultaron afectados.
Noticia
DigiCert, empresa notreamericana que opera como autoridad certificadora (emite los certificados digitales que validan la identidad de sitios web y organizaciones), confirmó un acceso no autorizado a uno de sus sistemas internos. En ese sistema archivaba la información que entregan los clientes para verificar la identidad de sus representantes.
La compañía publicó el informe completo en Bugzilla, la plataforma pública de seguimiento de incidencias de Mozilla. Según el documento, el 4 de febrero de 2025 el sistema fue trasladado fuera de un segmento de red protegido por VPN. “Esta migración permitió inadvertidamente que este sistema interno de negocios fuera accesible externamente”, reconoció DigiCert.
Tras el cambio quedó habilitada una función de autorregistro, pensada para otros usos de su plataforma de gestión de cuentas. Las cuentas creadas por esa vía no exigían autenticación multifactor y tenían permisos de solo lectura, que de todos modos bastaban para consultar los datos archivados.
El 18 de junio de 2026, el equipo interno detectó cuentas ajenas a la empresa, pero concluyó erróneamente que no podían acceder a datos. Tres días después, el programa de seguridad gestionado de DigiCert alertó sobre la creación de cuentas externas, y la corrección se aplicó el 2 de julio. Las consultas no autorizadas ocurrieron entre el 27 de junio y esa fecha.
DigiCert empezó a sospechar del acceso a la información archivada recién el 12 de octubre, y lo confirmó el 19. Hasta entonces, el caso se había tratado como un problema de creación de cuentas y no como un acceso a datos.
La mayoría de los registros consultados contenía nombres, correos corporativos, teléfonos y direcciones comerciales. En una pequeña minoría de cuentas había además documentos como licencias de conducir, pasaportes o facturas de servicios. La empresa no ha precisado cuántos clientes resultaron afectados.
Según el informe, la cuenta no podía modificar registros, aprobar validaciones ni emitir certificados. Tampoco se vieron afectados los sistemas de la autoridad certificadora, CertCentral ni DigiCert ONE.
DigiCert empezó a enviar notificaciones a los clientes afectados, y algunos de ellos compartieron copias en redes sociales. En el aviso, la empresa explica que todavía revisa los documentos de identidad para saber qué personas se vieron afectadas, y que les avisará cuando termine. “Hasta donde sabemos, no hay evidencia de mal uso de la información involucrada”, indicó un vocero, que además confirmó que el caso fue denunciado ante las autoridades policiales.
El informe identifica tres causas: la migración se trató como un cambio de infraestructura sin revisión de seguridad; faltaban alertas ante cuentas nuevas; y el modelo de permisos no contemplaba el autorregistro. “La autorización de un sistema de negocios no debe delegarse a su posición en la red”, concluyó la empresa.
Desde entonces, DigiCert desactivó el autorregistro, trasladó los accesos a una red privada, restableció todas las contraseñas y reforzó el monitoreo. En Bugzilla, algunos participantes siguen preguntando cuántas personas fueron afectadas y si los datos se usaban para validar suscriptores, preguntas que DigiCert aún no ha respondido.
