DigiCert confirma vazamento de dados de contato de clientes empresariais

A DigiCert, uma das maiores autoridades certificadoras do mercado, confirmou que atacantes acessaram dados de contato de clientes empresariais. O alvo foi um sistema interno de negócios usado para arquivar informações de clientes. Em fevereiro de 2025, esse sistema foi movido para outro segmento de rede e acabou exposto à internet sem querer.

O vetor foi um recurso de autocadastro no gerenciador de contas do sistema, criado para outros fins e sem exigência de MFA. Com ele, os atacantes criaram uma conta somente leitura que teve acesso aos dados arquivados entre 27 de junho e 2 de julho. A DigiCert bloqueou a conta em 2 de julho e concluiu em outubro que ela havia sido usada para ler dados. Os registros incluem nomes, e-mails, telefones e endereços comerciais. Em alguns casos, também documentos enviados por clientes, como carteiras de motorista, passaportes e contas de serviços públicos.

Segundo a empresa, o acesso não permitia gravar registros, atuar como aprovador de validação nem emitir certificados. Os sistemas da CA ficam em segmentos de rede próprios e não foram afetados. O caso foi tratado inicialmente como um evento de criação de conta. Só em 12 de outubro a empresa passou a suspeitar de acesso aos dados arquivados e abriu a investigação. A DigiCert não informou quantos clientes foram afetados.

Para quem opera segurança em empresa cliente de uma CA, o risco prático é de phishing e engenharia social direcionados, já que nomes, cargos de contato e documentos podem sustentar golpes convincentes. Vale rever quem recebe comunicações de validação de certificados e desconfiar de contatos inesperados. Para quem gere infraestrutura, o caso é lembrete de que mover um sistema de segmento de rede exige revisar exposição e recursos esquecidos, como autocadastro sem MFA. Esta é uma leitura editorial, não uma conclusão da empresa.