DigiCert因伺服器遷移設定錯誤釀資料外洩，部分客戶驗證身分文件與聯絡資訊遭存取

憑證管理機構DigiCert於11月5日證實發生客戶資料外洩事件。依據該公司提交至Mozilla Bugzilla的報告及向客戶發布的通知，事故起因於2025年2月進行伺服器遷移時產生配置錯誤，導致原先僅能經由VPN存取的內部業務系統直接暴露於公開網際網路。該系統具備供外部應用程式使用的自助註冊機制，外部人員藉此建立新帳號；同時因系統存在授權控管漏洞，使得未獲指派特定應用程式的未授權帳號，仍得以唯讀方式存取系統內封存的客戶資料。外洩內容涵蓋客戶姓名、企業電子郵件、電話號碼、公司地址，以及過去用於憑證驗證的身分證明文件，如駕照、護照、水電帳單等。DigiCert於2026年6月發現異常帳號後起初研判無存取權限，後經資安研究通報修正漏洞，並於10月19日確認未授權帳號曾在6月27日至7月2日期間存取相關客戶資料。

值得帶走的重點

• DigiCert說明2025年2月伺服器遷移設定不當，使原限VPN存取的內部系統暴露於公開網路。
• 外部人員利用自助註冊功能建立帳號，並結合授權漏洞以唯讀權限存取封存的客戶資料。
• 受影響資訊包括姓名、企業電郵、電話、地址，以及驗證憑證所繳交的駕照、護照與水電帳單等身分文件。
• 經調查確認，未授權存取行為發生於2026年6月27日至7月2日，DigiCert後續已修補授權漏洞並限制存取。