Bij het DigiCert datalek zijn gegevens van zakelijke klanten mogelijk blootgesteld. Het gaat om contactinformatie zoals namen en e-mailadressen. DigiCert meldt dat het incident begon door een interne wijziging waardoor een systeem met gearchiveerde klantdata later per ongeluk van buitenaf bereikbaar werd.
Hoewel DigiCert stelt dat de kern-CA-systemen op afzonderlijke beveiligde netsegmenten draaiden en niet zijn geraakt, blijft de impact voor organisaties die met DigiCert samenwerken relevant. Hieronder lees je wat er volgens het bedrijf precies is gebeurd, welke periode betrokken was en welke herstelmaatregelen zijn genomen.
Wat is er gebeurd bij het DigiCert datalek?
DigiCert gebruikt een intern bedrijfssysteem om klantinformatie te archiveren. In februari 2025 werd dit archiveringssysteem verplaatst naar een ander netwerksegment. Daarbij werd het systeem, volgens DigiCert, onbedoeld blootgesteld aan het internet.
Daarna maakten aanvallers misbruik van een self-registration-functie in de account manager. Deze functie was oorspronkelijk voor een ander doel bedoeld en vereiste geen MFA (multi-factor authenticatie).
Misbruik van self-registration voor read-only toegang
De aanvallers konden met die self-registration een account aanmaken dat in de praktijk alleen-lezen (read-only) toegang bood. Met die toegang konden ze tussen 27 juni en 2 juli bij de gearchiveerde data.
DigiCert heeft dit ongeautoriseerde account op 2 juli geblokkeerd. Pas later werd duidelijk dat het account mogelijk meer deed dan alleen een accountbeheerincident.
Welke gegevens waren mogelijk toegankelijk?
In oktober concludeerde DigiCert dat het account daadwerkelijk is gebruikt om gearchiveerde contactgegevens in te zien. Het bedrijf noemt daarbij:
- namen en e-mailadressen
- telefoonnummers en bedrijfsadressen
In sommige gevallen waren ook documenten die klanten hadden aangeleverd met naam en adres mogelijk gecompromitteerd. DigiCert noemt bijvoorbeeld:
- rijbewijzen
- paspoorten
- nutsrekeningen
- andere documenten met naam en adres
Niet geraakt: CA-systemen en certificaatprocessen
DigiCert benadrukt dat de toegang niet in staat was om records weg te schrijven of handelingen uit te voeren die normaal gesproken onder de certificeringsworkflow vallen. Ook kon het account geen rol spelen als validation approver en kon het geen certificaten uitgeven.
Volgens DigiCert draaiden de CA-systemen (certificate authority) op eigen beveiligde netsegmenten en waren ze daardoor niet beïnvloed door deze externe toegang.
Waarom duurde het onderzoek tot oktober?
DigiCert geeft aan dat de initiële analyse het incident eerst behandelde als een account-creation event. Met andere woorden: de eerste interpretatie was dat alleen het aanmaken van een ongeautoriseerd account de kern vormde.
Op 12 oktober verschoof het inzicht. DigiCert ging toen vermoeden dat het account mogelijk ook gearchiveerde data had benaderd en startte daarom een gerichter onderzoek.
Sinds medio oktober zijn extra maatregelen ingezet om herhaling te voorkomen en om mogelijke resterende toegang te detecteren.
Herstelmaatregelen die DigiCert heeft genomen
Na het intensiveren van het onderzoek heeft DigiCert meerdere stappen doorgevoerd. Denk daarbij aan zowel technische monitoring als toegangsbeheer.
- Extra monitoring en alerting ingevoerd voor snellere detectie.
- Niet-DigiCert accounts geverifieerd of verwijderd.
- Wachtwoorden gereset voor alle gebruikers van de zakelijke systemen.
- De functie die self-registration mogelijk maakte gedeactiveerd.
- Eigenaarschap en configuratie van het systeem gecontroleerd.
- Controle uitgevoerd op de handhaving van permissiebeleid (permission policies).
Wat betekent dit voor organisaties die DigiCert gebruiken?
Het DigiCert datalek laat vooral zien hoe belangrijk veilige accountprocessen zijn, ook wanneer het gaat om ‘achter de schermen’ systemen zoals archivering. Een self-registration-functie zonder MFA kan het verschil maken tussen beperkt misbruik en feitelijke datatoegang.
Ook is het een signaal dat verplaatsingen tussen netwerksegmenten, ook al zijn ze bedoeld voor beheer of optimalisatie, onverwacht internetblootstelling kunnen creëren. Voor organisaties betekent dat:
- beperk waar mogelijk self-service en zorg dat MFA standaard is waar dat kan;
- controleer of archiverings- en ondersteuningssystemen echt gescheiden blijven van externe toegang;
- maak detectie en logging robuust, zodat datatoegang eerder wordt opgemerkt dan pas maanden later.
Als je wilt vergelijken met andere incidenten rond patchvertraging en detectie, lees ook Dreiging en patchvertraging in 2026. Daarin komt het bredere patroon naar voren van hoe tijdverlies in security processen risico kan vergroten.
Welke lessen kun je nu toepassen?
Los van DigiCert zijn dit praktische security-onderwerpen die je kunt meenemen naar je eigen omgeving. Niet als checklist om blind af te vinken, maar als richting om te beoordelen waar je het risico het snelst kunt verkleinen.
1) Beoordeel ‘niet-bedoelde’ accountfuncties
Self-registration is vaak gebouwd om gebruikers of teams makkelijk toe te laten treden. Maar zodra zo’n functie in een account manager zit en niet strikt is afgeschermd, kan die als toegangspoort dienen. DigiCert deactiveerde daarom uiteindelijk de self-registration feature.
2) Zorg voor sterke authenticatie en strakke rechten
In dit incident draaide het om een mechanisme dat geen MFA vereiste. Daarnaast was de account in theorie read-only, maar het feit dat daarmee gearchiveerde gegevens konden worden ingezien, maakt dat ‘beperkte rechten’ niet automatisch ‘beperkt risico’ betekent.
3) Monitor datatoegang, niet alleen accountcreatie
DigiCert onderzocht het eerst als account-creation event. Het aanvullende onderzoek begon pas toen men vermoedens kreeg over datatoegang. Voor veel organisaties is dat een belangrijke les: stuur niet alleen op “wie heeft een account aangemaakt”, maar ook op “wie heeft welke data ingezien”.
Dit sluit aan bij bredere exposure-management aanpakken. Je vindt een praktische insteek in 5 tests om blootstelling te checken.
Conclusie
Het DigiCert datalek draait om blootstelling van gearchiveerde contactgegevens van zakelijke klanten door een verplaatsing van een intern archiveringssysteem. Aanvallers maakten gebruik van een self-registration mogelijkheid zonder MFA om een read-only account te creëren en konden zo tussen 27 juni en 2 juli data inzien.
Hoewel DigiCert stelt dat de CA-systemen niet zijn beïnvloed, laat het incident zien dat segmentering, veilige accountflows en datatoegangsmonitoring cruciaal zijn. Met extra monitoring, het deactiveren van self-registration en het resetten van wachtwoorden probeert DigiCert het risico op herhaling te beperken.
Bron: https://www.securityweek.com/digicert-data-breach-impacts-business-customer-information/
