Por Canuto  

Un traslado de servidor dejó accesible desde internet un sistema interno de DigiCert durante más de 16 meses. La compañía confirmó que una cuenta no autorizada consultó parte de sus archivos y que algunos podían incluir pasaportes, licencias de conducir y otros documentos de identidad.

***

  • La exposición comenzó en febrero de 2025, cuando un sistema interno pasó a otra zona de disponibilidad y quedó accesible desde internet público.
  • Una cuenta no autorizada consultó un subconjunto de registros archivados entre el 27 de junio y el 2 de julio de 2026; DigiCert no ha precisado cuántas personas resultaron afectadas.
  • La empresa afirma que sus operaciones de certificación, las credenciales de clientes y los certificados emitidos no se vieron comprometidos.

 

 

DigiCert reconoció que un error durante el traslado de un servidor dejó accesible desde internet un sistema interno durante más de 16 meses. La compañía confirmó que una cuenta no autorizada consultó registros archivados de clientes.

La información potencialmente comprometida incluye nombres, correos electrónicos y teléfonos comerciales, además de direcciones de empresas; algunos archivos también contenían pasaportes, licencias de conducir, facturas de servicios públicos u otros documentos de identidad.

La compañía ya comenzó a notificar a clientes afectados, pero todavía no ha informado cuántas personas quedaron involucradas. En un correo citado por The Register, DigiCert indicó que sigue revisando los documentos de identidad para determinar quiénes aparecen en ellos y que notificará a esas personas una vez concluya el análisis.

Un traslado que abrió el sistema a internet

El informe del incidente sitúa el origen del problema en febrero de 2025, cuando DigiCert trasladó un sistema comercial interno desde una red protegida por VPN a una zona de disponibilidad distinta. La modificación dejó el sistema accesible desde internet público. Esa exposición se mantuvo durante más de 16 meses, hasta que la compañía detectó el problema en junio de 2026.

El archivo empleaba la misma plataforma de gestión de cuentas que algunos productos orientados a clientes de DigiCert, pero conservaba funciones que no debían estar activas en ese entorno interno. Entre ellas estaba el autorregistro, que permitía a personas externas crear cuentas sin autenticación multifactor y, por un fallo separado en los permisos, navegar por registros archivados de clientes.

La combinación de esos defectos transformó una configuración equivocada en una vía de acceso a información sensible: el sistema quedó abierto y, además, aceptaba cuentas nuevas sin una segunda comprobación de identidad. DigiCert no explicó cuántos registros contenía el archivo ni cuánto material podía consultarse mediante esa ruta, por lo que el alcance total de la exposición continúa sin precisarse.

La compañía describió los registros afectados como una “pequeña proporción” de su archivo, aunque no acompañó esa caracterización con una cifra de clientes o personas. Para quienes entregaron documentos de identidad, la cuestión pendiente no es solo cuántos archivos quedaron al alcance, sino si sus datos específicos estaban entre los consultados; DigiCert dijo que esa revisión todavía estaba en curso.

La detección llegó después de la exposición

DigiCert encontró cuentas no autorizadas el 18 de junio de 2026, pero inicialmente las consideró inofensivas porque no estaban asociadas a una aplicación. Tres días después, un investigador de seguridad alertó sobre el problema de creación de cuentas, aunque la empresa no lo cerró hasta el 2 de julio.

La cronología importa porque la cuenta no autorizada consultó registros durante ese periodo. DigiCert confirmó el 19 de octubre que una cuenta accedió a un subconjunto de archivos archivados entre el 27 de junio y el 2 de julio, antes de que la compañía desactivara el problema de autorregistro.

La empresa no comenzó a investigar si los datos de clientes habían sido realmente consultados hasta el 12 de octubre, varios meses después de encontrar las cuentas y de recibir el aviso del investigador. La confirmación de acceso llegó una semana después, el 19 de octubre, cuando el análisis estableció que no se trataba únicamente de cuentas creadas sin uso.

Según el examen de DigiCert, el traslado del servidor no recibió una revisión de seguridad adecuada y los sistemas de monitoreo no detectaron la actividad sospechosa a tiempo. Los controles de acceso tampoco impidieron que las cuentas creadas mediante autorregistro recorrieran los registros, lo que evidencia que las fallas de configuración, supervisión y permisos se combinaron en vez de funcionar como barreras independientes.

Medidas correctivas y alcance declarado

DigiCert afirma que desde entonces desactivó el autorregistro, restringió el acceso a la red y añadió monitoreo para detectar actividad similar. Esas medidas responden a las debilidades que la compañía identificó, aunque el propio calendario del incidente muestra que la supervisión anterior no advirtió la exposición ni la consulta de archivos durante el periodo relevante.

La autoridad certificadora sostuvo que las operaciones de CertCentral y DigiCert ONE no se vieron afectadas, y que las credenciales de sus clientes y los certificados emitidos permanecen seguros. También dijo que no encontró evidencia de que la cuenta no autorizada se hubiera utilizado para emitir, revocar o validar certificados.

Ese límite es relevante para separar la exposición de documentos de identidad de un posible compromiso de la infraestructura de certificados. La información divulgada no indica que alguien haya manipulado certificados o utilizado las funciones de validación, pero sí confirma que una cuenta ajena accedió a una parte de los archivos archivados.

DigiCert no precisó el número de clientes afectados. La compañía dijo que continúa identificando a las personas cuyos documentos aparecen en los registros; hasta que complete esa tarea, el alcance individual de la brecha seguirá sin estar definido.

El incidente deja una diferencia importante entre la duración de la exposición técnica y el periodo de acceso confirmado: el sistema quedó disponible desde febrero de 2025, pero DigiCert confirmó consultas a archivos entre el 27 de junio y el 2 de julio de 2026. La empresa sostiene que sus certificados y credenciales siguen protegidos, mientras avanza con las notificaciones a quienes pudieron entregar pasaportes, licencias u otros documentos.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados