L’autorité de certification DigiCert a publié le rapport d’un incident au cours duquel un compte non autorisé a consulté des données archivées de clients, dont, pour une minorité, des copies de pièces d’identité. La cause est banale : une migration d’infrastructure a rendu accessible depuis Internet un système prévu pour un usage interne. Les certificats émis ne seraient pas concernés, mais le risque d’hameçonnage ciblé est réel.
Une porte ouverte pendant environ 17 mois
D’après le rapport d’incident déposé par DigiCert sur le Bugzilla de Mozilla, tout part d’une migration réalisée le 4 février 2025. Un système métier qui archive les informations fournies par les clients pour la validation de leur identité a été déplacé dans une zone joignable de l’extérieur. Ce système comportait une fonction d’inscription de comptes destinée à d’autres usages. Les comptes ainsi créés n’étaient pas soumis à l’authentification multifacteur et disposaient par défaut d’un accès en lecture seule aux archives.
Comme le résume IT-Connect, n’importe qui pouvait donc se créer un accès. La fenêtre d’exposition court jusqu’au correctif déployé le 2 juillet 2026, soit environ 17 mois.
Une chronologie marquée par un mauvais diagnostic
- 18 juin 2026 : des comptes externes sont repérés en interne, mais l’équipe estime qu’ils n’ont pas accès aux données, selon IT-Connect ;
- 21 juin : le programme de recherche en sécurité de DigiCert signale la possibilité de créer des comptes depuis l’extérieur ;
- 27 juin au 2 juillet : un compte non autorisé consulte une partie des données archivées ;
- 2 juillet : un correctif bloque les comptes non rattachés à une application ;
- 12 octobre : DigiCert soupçonne un accès aux données ;
- 19 octobre : l’événement est qualifié d’incident à déclarer, et un rapport préliminaire est déposé le lendemain.
DigiCert reconnaît avoir d’abord traité le problème comme une question de création de comptes et non d’accès aux données, ce qui a retardé d’environ trois mois la découverte de la fuite, souligne IT-Connect.
Quelles données, pour combien de clients ?
Pour la plupart des comptes touchés, il s’agit de coordonnées professionnelles : nom, adresse électronique, numéro de téléphone, adresse postale. Pour une petite minorité, un document fourni par le client figure dans les archives consultées, par exemple un permis de conduire, un passeport ou une facture d’énergie. DigiCert parle seulement d’une faible proportion des données archivées et n’a pas donné de nombre de personnes concernées, malgré les questions posées dans le fil Bugzilla.
L’entreprise affirme que ses plateformes CertCentral et DigiCert ONE ainsi que ses services d’autorité de certification n’ont pas été touchés : le compte frauduleux ne pouvait ni modifier des enregistrements, ni approuver des validations, ni émettre de certificats.
Ce que l’incident enseigne aux entreprises
Le premier risque est l’hameçonnage. Connaître le nom d’un responsable technique, ses coordonnées et le fait qu’il est client d’une autorité de certification suffit pour fabriquer un faux courriel de renouvellement crédible. Les équipes qui gèrent des certificats ont intérêt à ne valider aucun renouvellement depuis un lien reçu par courriel.
Le second enseignement porte sur les migrations. Le rapport cite comme facteurs contributifs l’absence de revue de sécurité après le déplacement du système, une surveillance insuffisante et un modèle d’autorisation qui n’avait pas prévu l’auto-inscription. DigiCert annonce avoir bloqué l’inscription au niveau du pare-feu applicatif, restreint le système au VPN, réinitialisé tous les mots de passe et imposé une validation de sécurité pour toute modification d’exposition réseau. Une leçon applicable à toute organisation : chaque changement de zone réseau doit déclencher un contrôle de ce qui devient visible.
Questions fréquentes
Mes certificats DigiCert sont-ils compromis ?
Selon DigiCert, non : le compte non autorisé n’avait aucun moyen d’émettre, de modifier ou de valider des certificats.
Comment savoir si je suis concerné ?
DigiCert indique avoir contacté les clients touchés et prévenu les autorités. En l’absence de message, la prudence reste de mise face à tout courriel de renouvellement inattendu.
Pourquoi l’incident a-t-il été découvert si tard ?
Parce que le signalement de juin a été analysé comme un simple problème de création de comptes. L’accès aux données n’a été soupçonné qu’en octobre.
Sources
- DigiCert : une erreur de migration expose les données et pièces d'identité de clients — IT-Connect, 2026-11-06
- Bug 2084460 – DigiCert: unauthorized access to internal business system (rapport d'incident) — Mozilla Bugzilla (rapport DigiCert), 2026-11-03