La filtración de DigiCert dejó intactos los certificados y desnuda otra cosa: el archivo con los datos de clientes de la empresa que vende confianza en internet. Una cuenta sin autorización leyó ese archivo durante cinco días, y dentro había nombres, correos de empresa, teléfonos, direcciones comerciales y, en una minoría de cuentas, pasaportes, licencias de conducir y recibos de servicios entregados para validar identidades.
DigiCert lo confirmó en su informe de incidente, presentado ante el programa de cumplimiento de autoridades de certificación de Mozilla. La lectura ocurrió entre el 27 de junio y el 2 de julio de 2026. La empresa lo tuvo por confirmado el 19 de octubre, y las cartas a los clientes afectados empezaron a llegar esta semana: BleepingComputer publicó hoy una de esas notificaciones y el relato completo del informe.
El límite del daño importa. El acceso fue de solo lectura: la cuenta no pudo modificar registros, aprobar validaciones ni emitir certificados. CertCentral y DigiCert ONE, las plataformas de los clientes, quedaron fuera del incidente, y las credenciales de acceso de los clientes no aparecen entre lo expuesto. Nadie tiene que reemplazar un certificado vigente por esta filtración de DigiCert; el problema vive en el archivo, no en la criptografía.
Una migración de 2025 dejó el archivo mirando a internet
El origen está fechado el 4 de febrero de 2025. Una migración de infraestructura movió el sistema interno de un segmento de red cerrado por VPN, la red privada virtual, a una zona accesible desde fuera. El sistema guardaba información archivada de clientes de interacciones anteriores, y nadie revisó qué quedaba visible tras el cambio de red.
Dentro viajaba una función de autorregistro heredada de la plataforma de gestión de cuentas, pensada para otras instalaciones. Con el sistema ya expuesto, cualquier persona podía crear una cuenta desde internet. Esas cuentas no pasaban por la verificación en dos pasos que usa el personal y nacían sin ninguna aplicación asignada, un detalle que en el papel sonaba inofensivo.
No lo era. Un fallo de autorización dejó que las cuentas sin aplicación leyeran el archivo en modo de solo lectura. Tener una cuenta bastó para abrir los registros, y el sistema trató esa cuenta como si trajera permiso. Que una empresa de seguridad acabe explicando un fallo propio en público tampoco es nuevo: 1Password reforzó su sistema luego de una brecha que dejó metadatos de usuarios guardados en texto plano.
Vieron las cuentas en junio. Entendieron el daño en octubre
El 18 de junio de 2026 el equipo interno detectó cuentas que no eran de empleados. La primera revisión concluyó que, sin aplicación asignada, esas cuentas no podían llegar a los datos. Esa conclusión era incorrecta, y costó meses.
Tres días después, el programa de investigación de seguridad administrado por la empresa avisó de que se podían crear cuentas desde fuera; la comprobación interna lo verificó el 24 de junio. El 2 de julio entró un parche que exige validar el token de la cuenta y responde con error 401 a las que no tienen aplicación, y el 9 de julio los nombres del sistema volvieron a quedar detrás de la VPN.
La lectura de los datos ya había ocurrido, entre el 27 de junio y el 2 de julio, justo antes del cierre. La sospecha de que el archivo había sido abierto llegó el 12 de octubre, tras revisar los registros de acceso a archivos y los volúmenes de peticiones. El 19 de octubre DigiCert confirmó un incidente reportable. La propia empresa admite en su informe que el caso se trató al principio como un problema de creación de cuentas, no como un evento de acceso a datos.
Las notificaciones cuentan lo mismo que el informe, en lenguaje de carta: la información se limitó a los datos de contacto compartidos con DigiCert y, si la persona lo entregó, a un documento de identidad. Un arquitecto de nube, Fabian Bader, compartió su carta en X y se quejó de que lo «limitado» abarcaba sus datos personales completos y los documentos de verificación de su certificado.
La vigilancia también llegó tarde. El informe reconoce que faltaban alertas a nivel de aplicación para la creación de cuentas y para el acceso a archivos dentro del sistema; las alertas de acceso a archivos y de volumen de peticiones se añadieron el 15 de octubre, tres días después de la primera sospecha de lectura.
Quedan dos tareas abiertas en el informe, una auditoría de exposición de los servidores de origen y la revisión de las alertas automáticas de creación de cuentas, ambas con fecha de cierre el 6 de noviembre. DigiCert sigue revisando los documentos de identidad del archivo para saber a quién más debe avisar; ese aviso saldrá cuando la revisión termine, y la cifra total de personas afectadas no se ha publicado.
Para quien administra un sitio con un certificado de esta casa, la acción práctica es otra: vigilar la bandeja de los representantes cuyos correos y teléfonos estaban en el archivo. Esos datos de clientes, ya leídos, son materia prima para suplantaciones muy dirigidas, con nombres reales, empresas reales y el pretexto perfecto de una renovación de certificado.
Fuente: BleepingComputer
