DigiCert bevestigt ernstig datalek met klantidentiteit
Certificaatautoriteit DigiCert heeft bevestigd dat er identiteitsbewijzen en persoonlijke klantgegevens zijn gelekt nadat het bedrijf ongeautoriseerde toegang heeft ontdekt tot een intern systeem, een onthulling die op 19 oktober tot vaststelling van daadwerkelijke toegang leidde en die terugkijkt naar gebeurtenissen in 2025 en 2026; het bedrijf rapporteerde dat onder de gelekte gegevens kopieën van paspoorten en rijbewijzen voorkomen en dat ook namen, zakelijke e-mailadressen, telefoonnummers en zakelijke adressen zijn aangetast, terwijl DigiCert benadrukt dat de door hen uitgegeven certificaten veilig zouden zijn en dat het betreffende externe account geen certificaten kon uitgeven. DigiCert heeft geen totaal aantal getroffen klanten vrijgegeven, wat vragen oproept over de omvang van het incident en over de mogelijke gevolgen voor organisaties die vertrouwden op de integriteit van hun identiteitscontrole via deze certificaatuitgever.
Wat er fout ging: van VPN naar openbare toegankelijkheid
Het incident startte nadat een intern bedrijfssysteem oorspronkelijk in een netwerk zat dat alleen via een VPN bereikbaar was en op 4 februari 2025 werd verplaatst naar een ander netwerk dat voor het hele internet toegankelijk werd, waardoor de beschermende omhulling van het VPN verdween voor dat systeem en blootstelling aan het publieke internet ontstond; die migratie veranderde de risicoanalyse ingrijpend en maakte het mogelijk dat externe partijen het systeem überhaupt konden vinden en benaderen. Deze technische beslissing blijkt achteraf cruciaal geweest te zijn voor de keten van fouten die volgde, omdat een publiek toegankelijk systeem veel meer monitoring en strengere toegangscontroles vergt dan een systeem dat zich binnen een intern, VPN-beschermd domein bevindt.
Accountbeheer en authenticatie faalden op meerdere fronten
Een tweede zwakke schakel in de keten was het account manager system waarin ongeautoriseerde gebruikers accounts konden aanmaken, en waar voor die aangemaakte accounts geen multifactorauthenticatie verplicht was ingesteld, een combinatie die door DigiCert op 21 juni werd opgemerkt toen bleek dat het systeem extern toegankelijk was en dat er een account was aangemaakt; op 2 juli kwam er een fix die verhinderde dat nog nieuwe accounts konden worden aangemaakt en die ervoor zorgde dat zogenaamde unassigned accounts geen toegang meer tot de informatie in het systeem hadden, maar DigiCert gaf aan dat men op dat moment niet kon aantonen of het aangemaakte account almaals toegang tot de data had verkregen. Deze reeks van fouten illustreert hoe operationele beslissingen, standaardinstellingen voor accountcreatie en ontbrekende MFA samen een groot risico vormen voor gevoelige klantdata.
Welke data precies zijn blootgesteld en hoe ernstig dat is
Volgens DigiCert gaat het bij de blootgestelde informatie vooral om namen, zakelijke e-mailadressen, telefoonnummers en zakelijke adresgegevens, en daarnaast omvat een kleine minderheid van getroffen accounts aanvullende persoonlijke documenten en bewijsstukken; het beeld is hieronder puntsgewijs samengevat zodat u snel ziet welke data kwetsbaar waren en waarom dat een direct risico voor personen en organisaties vormt:
- Algemene contactgegevens: namen, zakelijke e-mails, telefoonnummers en zakelijke adressen
- Identiteitsdocumenten voor een beperkte groep: kopieën van paspoorten en rijbewijzen
- Adresbewijzen: energierekeningen en andere documenten met naam en adres
- Certificaatimpact: DigiCert stelt expliciet dat het betreffende account geen certificaten kon uitgeven en dat uitgegeven certificaten veilig zouden zijn
Directe acties voor getroffen partijen en IT-teams
Voor organisaties die mogelijk getroffen zijn of die met DigiCert werken zijn er concrete stappen die onmiddellijk moeten worden gezet om schade te beperken en nieuwe risico s te voorkomen, en de volgende lijst biedt een praktisch stappenplan dat direct uitvoerbaar is voor security teams en beheerders:
- Verifieer welke accounts en documenten via DigiCert zijn ingezonden en markeer risicovolle dossiers met identiteitsbewijzen
- Informeer getroffen klanten transparant over welke gegevens mogelijk zijn gelekt en welke stappen zij moeten nemen, zoals identiteitsfraude-monitoring
- Rol waar mogelijk credentials en API-sleutels opnieuw uit en pas directe mitigaties toe zoals extra logging, strengere toegangsregels en verplichte multifactorauthenticatie
- Voer een forensisch onderzoek uit op eigen systemen en review third party afhankelijkheden
Waarom dit incident consequenties heeft voor vertrouwen en beleid
Het lek bij DigiCert raakt een fundamentele bouwsteen van internetveiligheid omdat certificaatautoriteiten niet alleen verantwoordelijk zijn voor het uitgeven van certificaten maar ook voor de veilige opslag en behandeling van identiteitsdocumentatie die door klanten wordt verstrekt; het opnieuw opbouwen van vertrouwen vereist niet alleen technische fixes maar ook transparante communicatie over aantallen, klanten en herstelmaatregelen, iets wat DigiCert nog niet volledig heeft vrijgegeven aangezien het bedrijf het exacte aantal getroffen klanten niet bekendmaakt. Organisaties moeten dit incident aangrijpen om eigen processen rond identiteitsvalidatie en externe leveranciers met kritieke rollen aan een strikte toets te onderwerpen, om regelmatig te auditen op live migraties van systemen, en om te waarborgen dat accountcreatie, authenticatie en dataopslag voldoen aan de strengste beveiligingsnormen om herhaling te voorkomen.