Firma DigiCert, będąca zaufanym urzędem certyfikacji, przyznała, że doszło do naruszenia bezpieczeństwa jej wewnętrznego systemu biznesowego. Problem wynikał z błędnej migracji infrastruktury w lutym 2025 roku, kiedy to system został wyprowadzony poza sieć chronioną przez VPN, co uczyniło go dostępnym z publicznego internetu.
Atakujący uzyskali dostęp do bazy danych pod koniec czerwca, tworząc nieautoryzowane konto. Wyciekły dane osobowe klientów, w tym imiona, nazwiska, adresy e-mail, numery telefonów oraz skany dokumentów tożsamości, takich jak paszporty czy prawa jazdy. Firma podkreśliła jednak, że proces wystawiania certyfikatów pozostał bezpieczny, a dane logowania użytkowników nie zostały przejęte.
Przyczyną późnego wykrycia incydentu był fakt, że migracja została potraktowana jedynie jako zmiana infrastrukturalna, a nie zmiana wymagająca audytu bezpieczeństwa. Dodatkowo system nie posiadał odpowiednich mechanizmów powiadamiania o tworzeniu nowych kont czy nietypowym ruchu sieciowym. Sprawa została zgłoszona organom ścigania oraz odpowiednim podmiotom, w tym Mozilla, Google, Microsoft i Apple.
