Un intrus a pu lire des pièces d'identité confiées à DigiCert, qui certifie les sites web

Le 18 juin 2026, une équipe de DigiCert repère, sur l'un des systèmes internes de l'entreprise, des comptes qui n'appartiennent à aucun de ses salariés. Elle conclut que ces comptes ne peuvent rien lire et se contente de bloquer leur création. C'était une erreur. Le 19 octobre, l'autorité de certification américaine conclut qu'un intrus a bien consulté des données de clients. Pour une minorité d'entre eux, cela pourrait comprendre des pièces d'identité.

DigiCert délivre des certificats, ces fichiers qui permettent à votre navigateur de vérifier qu'il parle bien au site attendu. Pour en délivrer certains, elle contrôle l'identité des représentants de l'entreprise cliente, justificatifs à l'appui. C'est l'archive de ces informations qui a été exposée. L'entreprise a signalé l'incident le 20 octobre sur le site de suivi de Mozilla, où les autorités de certification rendent compte de leurs incidents aux navigateurs, puis l'a détaillé début novembre. Plusieurs médias spécialisés, dont BleepingComputer, l'ont relayé le 5 novembre.

Un serveur sorti du VPN sans contrôle de sécurité

Tout part d'une opération banale. Le 4 février 2025, lors d'une migration d'infrastructure, le système quitte un segment de réseau réservé aux connexions par VPN pour une zone joignable depuis Internet. Une fonction d'inscription en libre-service, prévue pour d'autres usages, devient accessible à n'importe qui. Les comptes ainsi créés ne demandent pas de double authentification. À cause d'un défaut dans la gestion des droits, ils peuvent lire les données archivées, en lecture seule. DigiCert reconnaît que la migration a été traitée comme un simple chantier d'infrastructure, sans revue de sécurité.

Le 21 juin 2026, un signalement reçu par son programme de recherche en sécurité l'alerte : des personnes extérieures peuvent se créer un compte. Le correctif ne tombe que le 2 juillet. Entre-temps, du 27 juin au 2 juillet, un compte non autorisé consulte des informations de clients. DigiCert l'écrit sans détour : l'incident a d'abord été traité « comme un problème de création de comptes plutôt que comme un accès à des données ».

Des passeports et des permis pour une minorité de clients

La plupart des fiches ne contiennent que des coordonnées professionnelles : nom, adresse e-mail et téléphone professionnels, adresse de l'entreprise. Pour une petite minorité de comptes, selon DigiCert, l'archive contenait aussi les documents fournis lors de la vérification : permis de conduire, passeport, facture ou tout autre justificatif de nom et d'adresse. L'entreprise assure que seule « une petite partie » des données archivées est touchée, sans donner aucun chiffre. Le 5 novembre, un participant au fil de discussion de Mozilla lui a demandé ces chiffres. Aucune réponse n'apparaissait à l'heure où nous écrivons.

DigiCert insiste sur un point : le compte ne pouvait ni modifier des fiches, ni valider une demande, ni émettre un certificat. Selon l'entreprise, ses plateformes CertCentral et DigiCert ONE n'ont pas été touchées, et les identifiants des clients comme les certificats émis restent sûrs. Les notifications aux personnes concernées ont commencé : l'architecte cloud Fabian Bader en a publié une copie sur X, selon BleepingComputer.

Clients de DigiCert : les précautions à prendre

Pas de piratage sophistiqué ici : un serveur déplacé hors du VPN et une inscription restée ouverte ont suffi. Pour les clients, le principal risque est l'hameçonnage ciblé. Un escroc qui connaît le nom et le numéro de l'administrateur de vos certificats peut se faire passer pour DigiCert de façon très crédible.

• Méfiez-vous des messages qui évoquent un renouvellement urgent, une nouvelle vérification d'identité ou un changement de coordonnées bancaires. Passez par votre console habituelle, jamais par un lien reçu.
• Si vous avez fourni une pièce d'identité lors d'une validation, lisez attentivement la notification de DigiCert et restez attentif à toute tentative d'usurpation d'identité.
• Pour vos propres équipes : une migration réseau est aussi un changement de sécurité. Depuis le 28 août 2026, DigiCert exige une validation de sécurité pour ce type d'opération.

Une question reste ouverte : combien de personnes, et de quels pays, ont vu leurs documents exposés ? DigiCert dit examiner encore les pièces d'identité pour savoir qui prévenir. Les navigateurs surveillent de près les autorités de certification : en octobre, Chrome a ainsi cessé de reconnaître certains certificats d'eMudhra, pour d'autres manquements.