DigiCert : un compte non autorisé a lu des archives, pas les certificats

DigiCert a écrit, dans un rapport déposé le 1er novembre 2026 sur le Bugzilla de Mozilla, qu’un compte non autorisé a lu une petite partie d’une archive interne entre le 27 juin et le 2 juillet 2026, sans émettre, modifier ni révoquer de certificat.

Le rapport complet est le commentaire 2 du bogue 2084460, signé du compte DigiCert, après un signalement préliminaire du 20 octobre et une promesse, le 27 octobre, de le publier au plus tard le 3 novembre. Le fil a encore bougé le 5 novembre : l’entreprise y dit avoir terminé une action de détection, sans répondre à une demande de chiffres.

Des coordonnées, parfois une pièce d’identité

L’archive sert à conserver ce que les représentants des clients transmettent pour prouver leur identité. DigiCert écrit que la plupart des données lues se limitent à des noms, des adresses électroniques professionnelles, des numéros de téléphone et des adresses d’entreprise. Une petite minorité de comptes contenait en plus un document fourni par le client : permis de conduire, passeport, facture d’énergie, ou un autre document portant un nom et une adresse.

Aucun total n’est public. L’annexe dit que des statistiques résumées peuvent être communiquées aux représentants des programmes de certificats racine, sur demande, parce que les pièces jointes contiendraient des données personnelles. Le 5 novembre à 5 h 10, heure du Pacifique, un intervenant qui signe Claves Nostrum a demandé ces chiffres. À la lecture du fil, le 6 novembre au matin, aucune réponse n’y figurait.

Une migration de février 2025, un accès constaté en juin 2026

Le 4 février 2025, lors d’un déménagement d’infrastructure, le système est passé d’un segment réservé au VPN vers une zone accessible depuis l’extérieur. Il s’appuie sur un gestionnaire de comptes, le même logiciel que des produits clients, mais sur une instance séparée. Une inscription en libre-service, prévue pour d’autres usages, s’y est retrouvée. Ces comptes n’avaient pas l’authentification à plusieurs facteurs exigée du personnel, et ils étaient en lecture seule. Ils pouvaient tout de même lire l’archive.

Le 18 juin 2026, une équipe interne a vu des comptes qui n’étaient pas ceux de DigiCert. Comme ils n’étaient rattachés à aucune application, le relecteur en a conclu qu’ils n’avaient pas accès aux données. Le système a été placé derrière un pare-feu applicatif, ce qui bloquait les nouvelles inscriptions venues de l’extérieur. Le 21 juin, un programme de recherche en sécurité a signalé que la création de compte restait possible. La fenêtre d’accès aux données, établie plus tard, va du 27 juin au 2 juillet 2026, date d’un correctif d’autorisation.

DigiCert écrit que l’incident a d’abord été traité comme un problème de création de compte, pas comme un accès aux données. Le soupçon d’une lecture réelle date du 12 octobre. Le 19 octobre, l’entreprise juge l’événement déclarable. Le rapport ne dit pas, dans le fil public, ce qui a déclenché ce soupçon : un commentaire du 5 novembre à 16 h 19, heure du Pacifique, pose la question, sans réponse au moment de cette lecture.

Deux actions à échéance du 6 novembre

Le rapport liste treize actions. La plupart sont marquées terminées, dont la désactivation de l’inscription libre, le 24 octobre, et un test d’intrusion externe achevé le 31 août. Deux lignes avaient pour échéance le 6 novembre 2026 et le statut « Ongoing » : un audit interne confirmant qu’aucun serveur d’origine du système n’est joignable de l’extérieur, et une revue finale des alertes sur les créations de comptes inattendues.

Le 5 novembre à 15 h 25, heure du Pacifique, le compte DigiCert a écrit que l’action 13, ces alertes, était terminée. L’action 12, l’audit d’exposition externe, n’a pas été mise à jour dans le fil au moment de la lecture.

Sources

• Mozilla Bugzilla 2084460, rapport d’incident DigiCert, lu le 6 novembre 2026