Certificaatautoriteit DigiCert heeft bekendgemaakt dat een intern bedrijfssysteem met klantinformatie ongeautoriseerd toegankelijk is geweest. In dat systeem stonden gegevens die klanten hadden aangeleverd voor identiteitsvalidatie. Volgens DigiCert gaat het vooral om zakelijke contactgegevens, maar bij een kleine minderheid van de getroffen klantaccounts ook om kopieën van documenten zoals paspoorten en rijbewijzen.
Intern systeem kwam buiten vpn-netwerk te staan
Het betreffende systeem was oorspronkelijk ondergebracht in een netwerk dat alleen via een vpn bereikbaar was. Op 4 februari 2025 werd het systeem volgens de melding echter verplaatst naar een ander netwerk. Daardoor werd het systeem vanaf het internet bereikbaar.
Daar bleef het niet bij. Ongeautoriseerde gebruikers konden accounts aanmaken om op het systeem in te loggen. Voor accounts die via het betreffende accountmanagersysteem werden aangemaakt, was bovendien geen multifactorauthenticatie vereist. Dat maakte de impact van de blootstelling groter dan wanneer alleen sprake zou zijn geweest van een verkeerd geconfigureerde internettoegang.
Tijdlijn: ontdekking in juni, datatoegang pas in oktober vastgesteld
DigiCert ontdekte op 21 juni 2026 dat het bedrijfssysteem extern toegankelijk was en dat er een account was aangemaakt. Op 2 juli voerde de certificaatautoriteit een fix door. Die moest voorkomen dat er nog accounts konden worden aangemaakt en dat zogenoemde unassigned accounts toegang hadden tot informatie in het systeem.
Volgens DigiCert was op dat moment nog niet bekend dat het aangemaakte account daadwerkelijk toegang tot gegevens in het systeem had gekregen. Pas op 19 oktober stelde het bedrijf vast dat er ongeautoriseerde toegang tot klantgegevens had plaatsgevonden.
De melding noemt geen aantal getroffen klanten of accounts. Daardoor is op basis van de beschikbare informatie niet vast te stellen hoe groot het datalek precies is.
Welke gegevens zijn geraakt?
Volgens DigiCert bestaat het merendeel van de betrokken data uit namen, zakelijke e-mailadressen, telefoonnummers en zakelijke adresgegevens. Voor een kleine minderheid van de getroffen klantaccounts gaat het om aanvullende persoonlijke informatie. Daarbij noemt het bedrijf rijbewijzen, paspoorten, energierekeningen en andere documenten waarop naam- en adresgegevens staan.
Juist die laatste categorie maakt het incident gevoelig. Identiteitsbewijzen en documenten ter adresverificatie worden vaak gebruikt in processen waarbij organisaties moeten aantonen wie een klant of vertegenwoordiger is. Als zulke documenten buiten de beoogde omgeving terechtkomen, kan dat voor betrokkenen langdurige risico’s opleveren, omdat een paspoort- of rijbewijskopie meer bevat dan alleen contactinformatie.
Certificaten volgens DigiCert niet getroffen
DigiCert benadrukt dat de certificaten die het uitgeeft veilig zijn. Het account dat bij het incident betrokken was, kon volgens het bedrijf geen certificaten uitgeven. Op basis van de melding gaat het dus om toegang tot klant- en validatiegegevens, niet om een incident waarbij de uitgifte van certificaten zelf is gecompromitteerd.
Dat onderscheid is belangrijk. Certificaatautoriteiten spelen een centrale rol in het vertrouwen achter tls-certificaten voor websites, diensten en bedrijfsomgevingen. Een probleem met certificaatuitgifte kan gevolgen hebben voor bredere internetvertrouwensketens. In dit geval meldt DigiCert expliciet dat die functie niet geraakt is. Tegelijk blijft het incident relevant omdat juist een certificaatautoriteit veel gevoelige validatie-informatie verwerkt.
Analyse: configuratie, accountbeheer en MFA als samenhangend risico
Het bevestigde deel van het incident wijst op een combinatie van factoren: een intern systeem werd naar een netwerk verplaatst waar het vanaf internet bereikbaar was, accountaanmaak bleek mogelijk voor onbevoegden en voor die accounts gold geen multifactorauthenticatie. Los van de uiteindelijke omvang laat die combinatie zien hoe snel een interne toepassing verandert in een datalekrisico wanneer netwerksegmentatie, accountbeheer en authenticatie niet op elkaar aansluiten.
Voor organisaties is dit incident vooral een waarschuwing rond systemen waarin identiteitsdocumenten en klantvalidatiegegevens worden opgeslagen. Zulke omgevingen zijn aantrekkelijk omdat ze niet alleen contactgegevens bevatten, maar ook documenten waarmee personen en organisaties zich hebben gelegitimeerd. Dat maakt toegangscontrole, logging, periodieke controle op blootstelling en strikte scheiding tussen interne en extern bereikbare systemen van groot belang.
Voor klanten van DigiCert blijft op basis van de melding vooral onzeker hoeveel accounts daadwerkelijk zijn getroffen en welke documenten per account toegankelijk zijn geweest. DigiCert heeft wel de aard van de gegevenscategorieën benoemd, maar geen aantallen openbaar gemaakt.
Bron: security.nl
