DigiCert dejó a la vista pasaportes de sus clientes

DigiCert, una de las autoridades de certificación que firman los certificados con los que los navegadores dan por buenas muchísimas webs, ha reconocido una brecha de datos. Según publica BleepingComputer, un error durante una migración de servidores dejó expuesto a internet un sistema interno de la empresa y alguien aprovechó para leer información archivada de clientes. En algunos casos, eso incluye documentos de identidad.

Qué se ha expuesto y a quién afecta

La compañía habla de una «pequeña parte» de sus datos archivados de clientes: nombres, correos electrónicos de empresa, teléfonos y direcciones profesionales. Para algunas personas, además, los registros contenían la documentación que entregaron para verificar su identidad al pedir un certificado: permisos de conducir, pasaportes o facturas de suministros.

DigiCert ya ha empezado a enviar avisos a los afectados. En la notificación, explica que todavía está revisando los documentos de identificación para saber a quién corresponden y que avisará a esas personas cuando termine. No ha dicho cuánta gente está afectada; BleepingComputer se lo ha preguntado y, de momento, no hay respuesta.

El arquitecto cloud Fabian Bader compartió en X una copia del aviso con un comentario cargado de ironía: «Gracias, @digicert, porque vuestra filtración se haya “limitado” a todos mis datos personales y, potencialmente, a cualquier documento de verificación que os envié para mi certificado».

Un fallo de más de un año

El informe del incidente publicado en Bugzilla, la plataforma de Mozilla donde se siguen los problemas de las autoridades de certificación, permite reconstruir la cronología:

• En febrero de 2025, una migración de servidores dejó accesible desde internet un sistema interno de negocio que antes solo se podía alcanzar a través de VPN.
• Ese sistema tenía una función de autorregistro pensada para otras aplicaciones, así que cualquiera de fuera podía crearse una cuenta.
• Esas cuentas no estaban asignadas a ninguna aplicación, pero un fallo de autorización les permitía consultar, en modo solo lectura, datos archivados de clientes.
• En junio de 2026, DigiCert detectó cuentas no autorizadas, pero concluyó que no podían ver datos de clientes precisamente porque no tenían aplicación asignada.
• Después recibió un aviso a través de su programa de investigación de seguridad advirtiendo de que se podían crear cuentas desde fuera. Aplicó correcciones, pero no se dio cuenta de que ya se habían consultado datos.
• Hasta el 19 de octubre no confirmó que una cuenta no autorizada había accedido a información de clientes entre el 27 de junio y el 2 de julio de 2026.

La propia empresa lo admite en su informe: «El incidente se trató inicialmente como un problema de creación de cuentas y no como un acceso a datos».

Lo que DigiCert dice que no se tocó

Según la compañía, la cuenta intrusa solo podía leer: no podía modificar registros, aprobar validaciones ni emitir certificados. DigiCert asegura que sus servicios de autoridad de certificación y sus plataformas CertCentral y DigiCert ONE no se vieron comprometidos, y que las credenciales de acceso de los clientes y los certificados emitidos siguen siendo seguros. Ha restringido el acceso al sistema afectado, ha desactivado el autorregistro y ha añadido controles de acceso.

Que los certificados estén a salvo es la parte tranquilizadora para la web. Para quienes entregaron su pasaporte o su carné para demostrar quiénes eran, el consuelo es menor: esos datos no se pueden revocar ni renovar como un certificado. Y el episodio deja una pregunta incómoda sobre una empresa cuyo negocio consiste en que los demás confíen en ella: un sistema que debía estar detrás de una VPN pasó más de un año abierto a internet sin que nadie lo advirtiera.

Fuente: BleepingComputer