DigiCert 證實內部業務系統遭未授權存取，部分客戶聯絡資料與身分證明文件可能外洩

發生什麼

DigiCert 在 Mozilla 根程式合規事件追蹤（Bugzilla）中說明：2025 年 2 月基礎設施遷移期間，本不應對外開放的內部業務系統被移出 限制區段，導致帳號註冊端點意外可從網際網路存取 ^[1]。

該公司表示，2026 年 6 月 21 日判定系統對外可達且已有未指派帳號被建立，並於 7 月 2 日部署授權修正；系統授權模型原本未考量自助註冊情境 ^[1]。

據 The Record 報導，DigiCert 於 10 月 19 日確認資料庫自 6 月 27 日起遭存取，並認定為應通報事件；發言人表示已向執法機關通報，且「就我們所知，沒有證據顯示相關資訊遭濫用」^[2]。The Register 亦報導該公司已開始通知受影響客戶，但尚未公布受影響人數 ^[3]。

影響範圍

DigiCert 寫道，事件僅影響一小部分歸檔資料；內容為與 DigiCert 分享的姓名、商務電子郵件、電話與商務地址，若客戶有提供，則「可能包含駕照、護照、公用事業帳單或其他含姓名與地址的文件」^[1]。

該公司強調，此存取無法寫入紀錄、無法擔任驗證核准者或簽發憑證；CA 系統位於獨立安全網段，未受此次外部存取影響，客戶登入憑證與已簽發憑證仍安全有效 ^[1]。

處置

DigiCert 報告列舉後續強化措施，包括將主機名稱限制為僅 VPN 流量、對內部工具的網路可達性變更要求安全簽核、停用自助註冊，以及重設業務系統使用者密碼等 ^[1]。受影響客戶應提防冒用 DigiCert 名義、提及憑證訂單或驗證流程的釣魚訊息 ^[3]。