Conta externa leu o arquivo de clientes da americana DigiCert, com cópias de passaportes

Uma conta externa leu parte do arquivo de clientes da DigiCert entre 27 de junho e 2 de julho, segundo a autoridade de certificação num relatório de incidente no rastreador Bugzilla da Mozilla. A maior parte eram contactos profissionais: nomes, e-mails de trabalho, telefones e moradas de empresas. Uma "pequena minoria" das contas de clientes incluía também um documento como passaporte, carta de condução ou fatura de serviços. A DigiCert não diz quantas pessoas foram afetadas.

Como o sistema ficou acessível de fora

A 4 de fevereiro de 2025, a DigiCert mudou o sistema de um segmento de rede restrito por VPN para outra zona de disponibilidade, o que o tornou acessível do exterior. O sistema tinha ainda uma função de registo autónomo criada para outros produtos. As contas criadas assim não estavam sujeitas a autenticação multifator e recebiam por omissão permissões de leitura, o que bastava para abrir os dados arquivados.

Segundo o relatório, ninguém reparou porque a mudança "foi tratada como uma alteração de infraestrutura e não como uma alteração de segurança". Os alertas sobre contas novas e volumes anormais de pedidos também eram insuficientes.

Visto em junho, percebido em outubro

A DigiCert escreve que o caso "foi inicialmente tratado como um problema de criação de contas e não como um acesso a dados". A primeira análise falhou porque a conta não tinha nenhuma aplicação atribuída e a equipa assumiu que não podia ler nada.

O que não foi tocado, segundo a empresa

De acordo com o relatório, a conta não podia alterar registos, aprovar validações nem emitir certificados, e os registos de atividade não mostram emissões ou revogações ligadas a ela. Os sistemas da autoridade de certificação estão em segmentos de rede separados. A DigiCert afirma que os clientes não precisam de substituir certificados ativos. É um caso diferente do ataque ao portal de apoio em abril, após o qual revogou 60 certificados de assinatura de código.

O que ainda não se sabe

O relatório não dá números e só oferece estatísticas resumidas a representantes dos programas de raiz, a pedido. No Bugzilla, um participante pediu números e a confirmação de que se trata de dados de verificação de subscritores, e outro perguntou o que levantou a suspeita a 12 de outubro. Até agora, as respostas da DigiCert ali só marcam ações como concluídas.

A empresa continua a analisar documentos de identificação para saber quem foi afetado. O seu porta-voz disse ao The Record que "não há provas de uso indevido" e que as autoridades foram informadas, mas não esclareceu se os atacantes fizeram contacto. Não se sabe quem estava por trás da conta.

Se recebeu o e-mail

A nossa leitura: o mais provável é seguir-se phishing. Quem tem estes dados sabe o seu nome, o seu e-mail de trabalho e que é contacto de um cliente da DigiCert, por isso um falso aviso de renovação ou revalidação pareceria credível. Como a DigiCert diz que não é preciso fazer nada quanto aos certificados, desconfie de qualquer mensagem sobre este incidente que peça para iniciar sessão ou reemitir. Se alguma vez enviou um documento à DigiCert, pergunte se estava entre os dados lidos. A cópia de um documento continua útil para burlões durante anos, e foi por isso que o regulador japonês pediu aos bancos que deixassem de aceitar fotos carregadas após uma fuga semelhante.