DigiCert datalek: wat mkb en cyberbedrijven moeten weten

De certificaatautoriteit DigiCert meldt dat onbevoegden toegang kregen tot een intern archief met klantgegevens. Security.NL berichtte er op 5 november over, op basis van de incidentmelding die DigiCert bij Mozilla indiende. Bij een kleine minderheid van de getroffen accounts ging het om kopieën van paspoorten of rijbewijzen. Certificaten zijn volgens DigiCert niet geraakt.

Wat is er gebeurd bij het DigiCert datalek?

Het systeem archiveert gegevens die klanten aanleveren om hun identiteit te laten valideren. Bij een migratie op 4 februari 2025 verhuisde het van een netwerk dat alleen via VPN bereikbaar was naar een netwerk met toegang vanaf internet. Daardoor was ook een registratiefunctie van het accountplatform van buitenaf bruikbaar. Accounts die zo ontstonden hadden geen MFA en standaard leestoegang tot de gearchiveerde data.

Volgens DigiCert liep het toegangsvenster van 27 juni tot en met 2 juli 2026, toen een autorisatiefix live ging. Een eerste vermoeden van toegang tot de archiefdata ontstond op 12 oktober; op 19 oktober stelde DigiCert vast dat het om een meldingsplichtig incident ging.

Welke gegevens zijn betrokken?

Meestal zakelijke contactgegevens: namen, zakelijke e-mailadressen, telefoonnummers en adressen. Bij een kleine minderheid van de accounts gaat het ook om aangeleverde documenten, zoals een rijbewijs, paspoort of energierekening. Het account kon volgens DigiCert niets wijzigen, geen validaties goedkeuren en geen certificaten uitgeven; de logs tonen geen schrijfacties. DigiCert zegt de getroffen klanten te hebben gecontacteerd en het incident bij de politie te hebben gemeld.

Wat is nog onzeker?

DigiCert noemt geen aantallen. Ook is niet bekend of klanten uit het Caribisch gebied zijn getroffen. De melding bij Mozilla staat nog open.

Wat betekent dit voor mkb en cyberbedrijven in het Caribisch gebied?

Wie bij DigiCert, direct of via een reseller, een certificaat met identiteitscontrole heeft aangevraagd (bijvoorbeeld een organisatie- of code-signingcertificaat), heeft mogelijk gegevens aangeleverd die in dit archief stonden. Wat u nu kunt doen:

• Zoek in uw mailbox, ook in de spam, naar een melding van DigiCert of uw reseller. Ontbreekt die, vraag dan zelf na of uw account is getroffen.
• Wees alert op phishing. Zakelijke contactgegevens zijn bruikbaar voor nepberichten over certificaatverlenging of -validatie. Log altijd zelf in op uw account in plaats van op een link te klikken.
• Zat er een kopie van een paspoort of rijbewijs bij, let dan extra op misbruik van uw identiteit en meld verdachte activiteit bij uw bank.

Voor cyberbedrijven is DigiCerts eigen analyse leerzaam. Als oorzaken noemt het een netwerkwijziging zonder securityreview, onvoldoende monitoring en een autorisatiemodel dat geen zelfregistratie voorzag. Een eerste signaal op 18 juni, niet-DigiCert-accounts op het systeem, werd volgens het rapport verkeerd beoordeeld. Controleer bij uw eigen migraties wat ineens van buiten bereikbaar wordt, of elke inlog MFA vereist en wie onbekende accounts nakijkt.