DigiCert發生資料外洩，起因是伺服器遷移出錯

憑證管理公司DigiCert於11月5日證實發生資料外洩事件，因伺服器遷移過程中的設定錯誤，導致原本僅供內部使用的業務系統暴露於網際網路，攻擊者利用系統授權控管漏洞，未經授權存取部分封存客戶資料，外洩資訊包含個人聯絡資料及身分證明文件。

根據DigiCert向受影響客戶發出的通知，此次事件涉及的資料包括姓名、企業電子郵件地址、電話號碼及公司地址。部分客戶過去為了完成憑證驗證程序，曾向DigiCert提供身分證明文件，因此外洩資料也可能包含駕照、護照、水電帳單，以及其他載有姓名與地址的文件。

該公司在提交至Mozilla Bugzilla的事件報告中指出，事件源於2025年2月進行伺服器遷移時，意外將原本僅能透過VPN存取的內部業務系統公開至網際網路。該系統具有供其他應用程式使用的自助註冊功能，外部使用者因此能夠建立帳號。雖然這些帳號並未被指派給特定應用程式，但系統存在授權控管漏洞，使未經授權的帳號仍能以唯讀模式存取封存客戶資料。

DigiCert於2026年6月首次發現系統存在未經授權的帳號，但當時認為這些帳號沒有被指派應用程式，因此無法存取客戶資訊。直到後續透過其資安研究計畫收到通報，才進一步確認外部人士竟然能夠在該系統建立新帳號。DigiCert隨後部署安全修補措施，限制系統存取並修正授權漏洞，直到10月19日進一步調查後，才確認未授權帳號曾於同年6月27日至7月2日期間存取客戶資料。