News

DigiCert: esposti dati e documenti d'identità dei clienti

DigiCert, autorità di certificazione (emette certificati digitali), ha ammesso che un sistema interno con dati archiviati dei clienti è rimasto raggiungibile da Internet: un account non autorizzato ha letto dati fra il 27 giugno e il 2 luglio 2026, in alcuni casi anche documenti d'identità. Il numero dei coinvolti non è stato dichiarato.

Fabrizio Picco
aggiornata il 5 novembre 2026 · si legge in 3 minuti

Hai comprato un certificato da DigiCert o gestisci un sito che ne usa uno? Qui trovi cosa è stato esposto, cosa dice l'azienda e cosa non si sa. Il resoconto si basa sull'articolo di BleepingComputer e sul rapporto ufficiale di DigiCert, che quell'articolo stesso cita.

Cosa è successo

Una migrazione di server, il 4 febbraio 2025, ha lasciato per errore un sistema interno di DigiCert aperto a Internet: prima era raggiungibile solo via VPN. Il sistema aveva una registrazione automatica di account, pensata per altre applicazioni, che non richiedeva l'autenticazione a due fattori e assegnava di default l'accesso in sola lettura ai dati archiviati (rapporto ufficiale DigiCert).

Il 18 giugno 2026 il team interno nota account non-DigiCert, ma conclude (erroneamente) che non avessero accesso ai dati. Il 21 giugno arriva una segnalazione dal programma di ricerca sulla sicurezza. Il 12 ottobre DigiCert sospetta per la prima volta un accesso non autorizzato ai dati archiviati e apre un'indagine supplementare; il 19 ottobre 2026 l'indagine conferma che un account aveva letto dati fra il 27 giugno e il 2 luglio 2026, classificando l'evento come da segnalare. DigiCert stessa ammette di averlo trattato prima come un problema di creazione account, non di accesso ai dati.

Illustrazione concettuale (non uno screenshot reale): una porta aperta in un muro di server, con una cartella di documenti visibile oltre la soglia.
Illustrazione concettuale (non uno screenshot reale): una porta aperta in un muro di server, con una cartella di documenti visibile oltre la soglia.

Quali dati sono stati letti

Secondo le fonti, per i record archiviati coinvolti:

DigiCert parla di «una piccola parte» dei dati archiviati e stava ancora verificando quali documenti fossero coinvolti. Dice anche che l'account poteva solo leggere: niente modifiche ai record, niente approvazioni di validazioni, niente emissione di certificati. Sono dichiarazioni dell'azienda.
  1. nome, email aziendale, telefono e indirizzo aziendale;
  2. per alcune persone, documenti come patente, passaporto o bollette, «se forniti».

Cosa controllare

DigiCert dice che CertCentral, DigiCert ONE e i servizi di emissione dei certificati non sono stati compromessi, e che le credenziali di accesso e i certificati già emessi restano sicuri. Le notifiche ai clienti sono in corso. Le fonti non riportano consigli ufficiali agli utenti; queste sono cautele di buon senso, non indicazioni di DigiCert:

  1. Leggi con attenzione la comunicazione di DigiCert, se la ricevi, e controlla che arrivi davvero dal loro dominio.
  2. Diffida di email o telefonate che citano DigiCert o la verifica del certificato: nomi, email e telefoni potrebbero essere usati per truffe mirate.
  3. Se hai inviato un documento d'identità per la validazione, chiedi a DigiCert se è fra quelli coinvolti.

Da dove vengono questi dati

Lette per intero: BleepingComputer (5 novembre 2026), che cita e collega il rapporto ufficiale di DigiCert su Mozilla Bugzilla (bug 2084460, "Full Incident Report") — non sono due fonti indipendenti, è BleepingComputer a riprendere il rapporto. Il rapporto Bugzilla non parla di notifiche ai clienti: quella parte viene solo da BleepingComputer, che cita anche un post su X di un cliente (un architetto cloud) con la notifica ricevuta.

Non risulta nelle fonti, nemmeno in quella ufficiale: il numero esatto di persone coinvolte (un terzo lo ha chiesto nello stesso thread Bugzilla, senza risposta al momento della lettura), di quali paesi, se ci sono clienti italiani, chi ha usato l'account, consigli ufficiali agli utenti.

Domande frequenti

Quanti clienti DigiCert sono stati colpiti?

Non è stato dichiarato. DigiCert parla di una piccola parte dei dati archiviati; BleepingComputer ha chiesto un numero e non aveva risposta alla pubblicazione.

I certificati dei miei siti sono a rischio?

DigiCert dice che i certificati emessi e i servizi di emissione non sono stati compromessi e che l'account non poteva emettere certificati. È una dichiarazione dell'azienda.

Da dove vengono questi dati

Questa guida l’ho scritta con l’aiuto dell’intelligenza artificiale e l’ho verificata sulle fonti qui sopra prima di pubblicarla. Come lavoro

Continua da qui