证书机构 DigiCert 警告称，一次服务器迁移误将内部业务系统暴露到互联网，导致未授权访问客户信息和身份证件。据 BleepingComputer 报道，DigiCert 已开始向受影响客户发送数据泄露通知。公司同时表示，其证书机构服务、CertCentral 与 DigiCert ONE 平台未被入侵。
DigiCert 称，此次事件影响的是一小部分归档客户数据，包括姓名、商务邮箱、电话号码和商务地址。对部分人来说，被暴露的记录还包含驾照、护照、水电账单等个人身份证明文件。
泄露通知中的表述是：所涉信息限于与 DigiCert 共享的姓名、商务邮箱、电话号码和商务地址；若客户曾提供，还可能包括驾照、护照、水电账单，或其他载有姓名与地址的文件。
云架构师 Fabian Bader 在 X 上公开了这份通知的副本，并写道，所谓“有限”的泄露只包含他的完整个人身份信息，以及可能包括他为申请证书而提交的任何验证文件。DigiCert 在通知中称，仍在审查身份证件以确定受影响者，审查完成后会再通知这些人。
Mozilla Bugzilla 上的一份事件报告称，2025 年 2 月的一次服务器迁移，把原先只能通过 VPN 访问的内部业务系统误暴露到了互联网。
该系统带有一个本为其他应用设计的自助注册功能，外部用户可以借此创建账户。这些账户虽然没有被分配给任何特定应用，但一项授权缺陷让它们能够以只读方式访问归档客户信息。
DigiCert 于 2026 年 6 月首次发现该系统上的未授权账户。当时公司判断，这些账户因未分配给应用，无法访问客户信息。随后，DigiCert 通过其托管安全研究计划收到报告，指出外部用户可以在该系统上创建账户。
据 BleepingComputer 对事件报告的引述，DigiCert 部署了安全修复，以限制对该系统的访问并处理授权缺陷，但当时并未意识到归档数据已被访问。直到 10 月 19 日的进一步调查才确认：有一个未授权账户在 2026 年 6 月 27 日至 7 月 2 日期间访问过客户信息。
DigiCert 在报告中承认，该事件最初被当作账户创建问题处理，而不是数据访问事件。
DigiCert 称，该未授权账户只有只读权限，不能修改记录、批准证书验证或签发证书。公司现已限制对受影响系统的访问、关闭自助注册，并增加了访问控制。
DigiCert 还称，其证书机构服务、CertCentral 和 DigiCert ONE 平台未被入侵，客户登录凭据和已签发证书仍然安全。
BleepingComputer 已联系 DigiCert，询问包括受影响人数在内的进一步问题，并表示若收到回复将更新报道。在原文发布时，尚未得到回复。
