Certificaatautoriteit DigiCert heeft identiteitsbewijzen en persoonlijke informatie van klanten gelekt. Dat heeft het bedrijf zelf bekendgemaakt. DigiCert meldt dat het ongeautoriseerde toegang heeft ontdekt tot een bedrijfssysteem dat informatie bevat die klanten hadden verstrekt om hun identiteit te valideren. Het gaat onder andere om kopieën van paspoorten en rijbewijzen.

Het interne bedrijfssysteem bevond zich in eerste instantie in een netwerk dat alleen toegankelijk was via een vpn. Het systeem werd echter op 4 februari 2025 naar een ander netwerk verhuisd, waar het voor heel het internet toegankelijk was. Een bijkomend probleem was dat ongeautoriseerde gebruikers accounts konden aanmaken om op het systeem in te loggen. Daar kwam bij dat voor accounts die via het betreffende 'account manager system' werden aangemaakt geen multifactorauthenticatie (MFA) was vereist.

DigiCert meldt dat het op 21 juni dit jaar ontdekte dat het bedrijfssysteem extern toegankelijk was en dat een account was aangemaakt. DigiCert kwam op 2 juli met een fix om te voorkomen dat accounts konden worden aangemaakt en dat 'unassigned accounts' geen toegang meer tot de informatie in het systeem hadden. De certificaat autoriteit wist op dat moment naar eigen zeggen niet dat het aangemaakte account toegang tot de gegevens in het systeem had gekregen.

Op 19 oktober ontdekte DigiCert dat er ongeautoriseerde toegang tot klantgegevens had plaatsgevonden. Het gaat volgens de incidentmelding voornamelijk om namen, zakelijke e-mailadressen, telefoonnummers en zakelijke adresgegevens. Van een 'kleine minderheid' van de getroffen klantenaccounts gaat het ook om aanvullende persoonlijke informatie, waaronder rijbewijzen, paspoorten, energierekeningen en andere documenten met naam en adres. DigiCert merkt op dat de certificaten die het uitgeeft veilig zijn en het betreffende account geen certificaten kon uitgeven. Van hoeveel klanten de gegevens zijn gelekt is niet bekendgemaakt.