Un compte extérieur a lu les archives clients de l'américain DigiCert, passeports compris

Un compte extérieur a lu une partie des archives clients de DigiCert entre le 27 juin et le 2 juillet, indique l'autorité de certification dans un rapport d'incident publié sur le tracker Bugzilla de Mozilla. Il s'agissait surtout de coordonnées professionnelles : noms, e-mails professionnels, numéros de téléphone et adresses d'entreprise. Une « petite minorité » de comptes clients contenait aussi un document tel qu'un passeport, un permis de conduire ou une facture de services. DigiCert ne dit pas combien de personnes sont concernées.

Comment le système est devenu joignable de l'extérieur

Le 4 février 2025, DigiCert a déplacé le système d'un segment réseau limité au VPN vers une autre zone de disponibilité, ce qui l'a rendu accessible de l'extérieur. Il embarquait aussi une fonction d'inscription en libre-service prévue pour d'autres produits. Les comptes ainsi créés n'étaient pas soumis à l'authentification multifacteur et recevaient par défaut un droit de lecture, ce qui suffisait pour ouvrir les données archivées.

Selon le rapport, personne ne l'a vu car le déplacement « a été traité comme un changement d'infrastructure et non comme un changement de sécurité ». Les alertes sur les nouveaux comptes et les volumes de requêtes inhabituels étaient également insuffisantes.

Repéré en juin, compris en octobre

DigiCert écrit que le cas « a d'abord été traité comme un problème de création de comptes et non comme un accès aux données ». La première analyse s'est trompée : le compte n'étant rattaché à aucune application, les employés ont supposé qu'il ne pouvait rien lire.

Ce qui n'a pas été touché, selon l'entreprise

D'après le rapport, le compte ne pouvait ni modifier des enregistrements, ni approuver des validations, ni émettre de certificats, et les journaux ne montrent aucune émission ou révocation liée à lui. Les systèmes de l'autorité de certification sont sur des segments réseau séparés. DigiCert affirme que les clients n'ont pas à remplacer leurs certificats actifs. L'affaire est distincte du piratage du portail d'assistance en avril, après lequel l'entreprise a révoqué 60 certificats de signature de code.

Ce qu'on ignore encore

Le rapport ne donne aucun chiffre et réserve les statistiques de synthèse aux représentants des programmes racine, sur demande. Sur Bugzilla, un participant a réclamé des chiffres et une confirmation qu'il s'agit de données de vérification des abonnés, un autre a demandé ce qui a éveillé les soupçons le 12 octobre. Pour l'instant, les réponses de DigiCert se limitent à marquer des actions comme terminées.

L'entreprise examine encore les pièces d'identité pour déterminer qui est concerné. DigiCert a déclaré à The Record qu'il n'y a « aucune preuve d'utilisation abusive » et que les forces de l'ordre ont été prévenues, sans dire si les attaquants ont pris contact. L'identité de l'auteur n'a pas été révélée.

Si vous avez reçu l'e-mail

Notre lecture : la suite la plus probable est le phishing. Celui qui détient ces données connaît votre nom, votre e-mail professionnel et sait que vous êtes le contact d'un client DigiCert, de sorte qu'un faux avis de renouvellement ou de revalidation paraîtrait crédible. Puisque DigiCert dit qu'il n'y a rien à faire pour les certificats, méfiez-vous de tout message sur cet incident qui demande de se connecter ou de réémettre. Si vous avez déjà envoyé une pièce d'identité à DigiCert, demandez si elle fait partie des données lues. La copie d'un document reste utile aux fraudeurs pendant des années. C'est pourquoi le régulateur japonais a demandé aux banques de ne plus accepter de photos téléversées après une fuite similaire.