DigiCert : passeports exposés, faille de migration révélée

Ce qui s'est passé

DigiCert, l'une des autorités de certification (CA) les plus importantes au monde, a officiellement reconnu une violation de données touchant une partie de sa clientèle professionnelle. L'incident a été divulgué publiquement le 1er novembre 2026 via le registre de conformité public de Mozilla pour les autorités de certification, un canal surveillé de près par la communauté de la sécurité numérique.

L'origine du problème remonte à février 2025, lorsque DigiCert a effectué une migration de serveur. Dans le cadre de cette opération, un système interne d'archivage a été configuré de manière incorrecte, laissant ce système accessible depuis l'internet public sans exiger de connexion VPN. Ce type d'erreur de configuration est fréquent lors des migrations d'infrastructure, mais peut avoir des conséquences considérables si elle n'est pas détectée rapidement. Dans le cas de DigiCert, la fenêtre d'exposition a duré plus d'un an sans être détectée.

Les accès non autorisés ont été actifs entre le 27 juin et le 2 juillet 2026. Des comptes inconnus ont pu consulter des données archivées sur cette période. Fait aggravant, les équipes internes avaient repéré une activité anormale dès le 18 juin 2026, mais l'avaient initialement classifiée comme un problème mineur de création de comptes, sans déclencher d'investigation approfondie. Ce délai de réaction de plusieurs semaines a permis aux intrus de maintenir leur accès et de consulter des volumes de données plus importants.

Les données exposées comprennent des informations professionnelles de contact : noms, adresses email professionnelles, numéros de téléphone et adresses postales d'entreprise. Pour une fraction plus restreinte des comptes touchés, des documents d'identité ont également été consultés — notamment des passeports, des permis de conduire et des factures de services publics (utility bills), documents qui servent généralement à vérifier l'identité des responsables lors de l'émission de certificats numériques à validation étendue.

DigiCert n'a pas communiqué le nombre exact de personnes, d'organisations ou de documents affectés. L'autorité de certification indique toutefois que ses services principaux — notamment CertCentral, DigiCert ONE et toute l'infrastructure de certification numérique — n'ont pas été compromis. Les certificats SSL/TLS émis par DigiCert restent valides et intègres, selon la déclaration officielle de l'entreprise.

En réponse à l'incident, DigiCert a désactivé la fonctionnalité d'auto-inscription sur le système concerné, renforcé les contrôles d'accès sur l'ensemble de ses systèmes d'archivage et lancé un audit de sécurité étendu. La société notifie individuellement les clients dont les données ont été consultées et procède à une revue approfondie des documents d'identité exposés, selon les informations rapportées par CybersecurityNews et CyberPress.

L'incident a également mis en lumière une lacune structurelle dans les processus de surveillance post-migration. L'absence de règles d'alerte automatiques sur les connexions hors-VPN vers des systèmes internes constitue une défaillance organisationnelle autant que technique. Des outils de CSPM (Cloud Security Posture Management) permettent pourtant de détecter ce type de misconfiguration en temps réel. Leur adoption reste insuffisante dans de nombreuses organisations, y compris parmi les prestataires de confiance critiques.

La divulgation auprès de Mozilla traduit les obligations auxquelles sont soumises les autorités de certification intégrées aux navigateurs : elles doivent signaler tout incident de sécurité dans un délai prescrit et en toute transparence, sous peine d'être retirées des magasins de confiance de Firefox, Chrome et Safari. Cette contrainte réglementaire, exercée par les grands éditeurs de navigateurs, est l'un des rares mécanismes de responsabilité concrète pour les CA opérant à l'échelle mondiale.

Pourquoi c'est important

DigiCert est l'une des trois autorités de certification les plus utilisées au monde, aux côtés de Sectigo et Let's Encrypt. Elle émet des certificats pour des milliers de grandes entreprises, administrations et infrastructures critiques. Une compromission de ses systèmes ne touche donc pas uniquement ses clients directs : elle soulève des questions sur la solidité de l'ensemble de l'écosystème PKI (Public Key Infrastructure) qui sous-tend la confiance en ligne, des transactions bancaires aux communications gouvernementales sécurisées.

L'exposition de documents d'identité — passeports en tête — est particulièrement sensible dans ce contexte. Ces pièces ne se renouvellent pas facilement et leurs données (numéro de document, date de naissance, photo) peuvent alimenter des usurpations d'identité, ouvrir des comptes bancaires frauduleux ou contourner des processus KYC (Know Your Customer). Dans le contexte de la cybercriminalité actuelle, où les données d'identité se négocient sur des marchés clandestins, même une fuite limitée peut avoir des conséquences durables pour les individus concernés, indépendamment de l'usage effectif qui en est fait.

L'aspect le plus préoccupant de cet incident reste la durée de la misconfiguration non détectée : plus de seize mois se sont écoulés entre la migration de février 2025 et la détection de l'accès non autorisé en juin 2026. Ce délai illustre un angle mort récurrent dans les grandes organisations : les environnements post-migration sont rarement audités de manière systématique. Les configurations de sécurité appliquées avant une migration (exigences VPN, ACL réseau, règles de firewall) ne se transfèrent pas automatiquement dans le nouvel environnement, et sans processus de vérification formel, des erreurs peuvent persister indéfiniment.

Pour les équipes de sécurité, cet incident est un rappel que les prestataires de confiance critiques — autorités de certification, fournisseurs d'identité, émetteurs de certificats — représentent des cibles à fort impact potentiel. Leur compromission n'implique pas nécessairement une attaque sophistiquée : une simple erreur de configuration, non détectée, suffit. L'intégration de contrôles CSPM, de tests d'accès post-migration et d'une surveillance continue des surfaces d'exposition doit figurer dans tout programme de gestion du risque tiers.

Ce qu'il faut retenir

• DigiCert a exposé des documents d'identité clients (passeports, permis) suite à une misconfiguration lors d'une migration serveur en 2025, non détectée pendant plus d'un an.
• Les services de certification restent intacts, mais les clients impactés doivent surveiller leurs documents d'identité et signaler tout usage suspect aux autorités compétentes.
• Pour les RSSI : toute migration d'infrastructure doit s'accompagner d'un audit des règles d'accès réseau et d'une vérification formelle de la posture de sécurité post-migration via des outils CSPM.