Para: administradores de certificados, equipos de seguridad y de TI, y personas que dieron a DigiCert información de identidad o de validación de su organización. Este artículo se basa en el informe de incidente de la propia empresa y no trata técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
- A quién afecta
administradores de certificados, equipos de seguridad y de TI, y personas que dieron a DigiCert información de identidad o de validación de su organización.
- Confirmado hasta ahoraVer la tabla ↓
- Acceso no autorizado
- Periodo del acceso
- Datos de contacto (nombres, correo profesional, teléfono, dirección)
1 más
- Documentos aportados por el cliente (carné de conducir, pasaporte, factura de suministros, etc.)
- Aún sin confirmar
- Cuántos registros y personas están afectados
- Los documentos de identidad de qué personas están implicados (DigiCert dice que su revisión sigue en curso)
- Finalización de la acción pendiente de confirmar que no existe ningún servidor de origen accesible desde el exterior
2 más
- Qué llevó a DigiCert a sospechar del acceso el 12 de octubre
- Si los datos se han usado indebidamente (daño posterior)
- Qué hacer ahoraVer los pasos ↓
- Verifique cualquier mensaje que diga ser de DigiCert a través de un portal que abra usted mismo
- Si envió documentos de identidad, vigile un posible uso indebido
- No reemita certificados solo por esto (afirmación de DigiCert)
2 más
- Trate igual un aviso de brecha
- Informe a quienes gestionan la validación
- Dónde verificarlo (fuente)Todas las fuentes ↓
- DigiCert, «DigiCert: Unauthorized access to business system», bug 2084460 de Mozilla Bugzilla (en inglés; informe preliminar del 21 de octubre UTC, informe completo publicado el 1 de noviembre UTC, comentarios hasta el 6 de noviembre UTC; consultado el 7 de noviembre)
- Última comprobación
- A fecha del 7 de noviembre de 2026
Próximos avisos y qué comprobamos
DigiCert publicó un informe completo del incidente en el bug de Mozilla Bugzilla, desde su propia cuenta. Un participante le ha pedido cifras sobre el conjunto de datos y qué motivó la sospecha del 12 de octubre; en la comprobación del 7 de noviembre no encontramos respuesta de DigiCert a esas preguntas. Las novedades aparecerían en el mismo bug.
Qué deben hacer hoy los clientes de DigiCert
Verifique cualquier mensaje que diga ser de DigiCert a través de un portal que abra usted mismo
Los datos de contacto y el hecho de que usted pasó por una validación son justo lo que usaría un mensaje falso. Es un riesgo general de los datos implicados, no algo que DigiCert diga que esté ocurriendo.
- No use enlaces ni archivos adjuntos de un mensaje que le pida revalidar, reenviar documentos, confirmar una cuenta o actualizar datos de pago
- Abra usted mismo el portal (desde un marcador o escribiendo la dirección) o llame a su representante de cuenta conocido, y compruebe si hay alguna solicitud pendiente (aportación de este sitio, ¿Qué es el phishing?)
Si envió documentos de identidad, vigile un posible uso indebido
El informe de DigiCert dice que una pequeña minoría de cuentas de clientes incluía un documento aportado por el cliente, como un carné de conducir, un pasaporte o una factura de suministros. Según la prensa, DigiCert aún está determinando quién está afectado y se lo notificará. No espere (consejo de este sitio).
- Anote qué documentos enviaron usted o sus compañeros para la validación
- Vigile nuevas cuentas, solicitudes de crédito y contactos que usen su nombre y dirección
- Véase What to do after a driver's license data leak (en inglés) para conocer los tipos de uso indebido y cómo frenarlos
No reemita certificados solo por esto (afirmación de DigiCert)
DigiCert dice que no se emitió, modificó ni revocó ningún certificado, que sus sistemas de CA, CertCentral y DigiCert ONE no se vieron afectados y que no hace falta ninguna acción para los certificados activos. Mantenga su gestión habitual de caducidad y renovación.
Trate igual un aviso de brecha
Un aviso falso que imite al auténtico es un seguimiento probable. Si recibe un aviso, compruebe que coincide con lo que ve en su propio portal o con su representante conocido antes de hacer clic en nada (aportación de este sitio).
Informe a quienes gestionan la validación
Cuente este incidente y la comprobación anterior a los contactos registrados para la validación de la organización y a las personas que subieron documentos. Los mensajes pueden dirigirse a la persona y no solo al administrador (aportación de este sitio).
1. Llega un mensaje sobre revalidación, documentos o comprobación de cuenta
Aunque mencione su organización y su contacto, puede no ser auténtico
↓
2. No abra enlaces ni archivos adjuntos, y no responda
↓
3. Compruebe en el portal que abra usted mismo o con su representante conocido
Hasta entonces, no envíe documentos ni apruebe nada
Qué pasó (según el informe de DigiCert)
Lo siguiente se basa en el informe de incidente que DigiCert presentó en Mozilla Bugzilla (informe preliminar del 20 de octubre, informe completo publicado hacia el 2 de noviembre de 2026, hora de Japón).
4 de febrero de 2025
Una migración de infraestructura movió el sistema interno de negocio de un segmento de red restringido por VPN a uno accesible desde el exterior (informe de DigiCert)18 de junio de 2026
Un revisor interno vio cuentas que no eran de DigiCert y juzgó que no tenían acceso a datos. El sistema se puso detrás de un cortafuegos de aplicaciones web (WAF), que bloqueó la creación de nuevas cuentas desde el exterior21 a 24 de junio de 2026
Un programa gestionado de investigación de seguridad informó de que se podían crear cuentas desde el exterior (21 de junio). DigiCert lo verificó (24 de junio)27 de junio a 2 de julio de 2026
Periodo en el que se accedió a los datos archivados, según estableció la investigación posterior. El 2 de julio se publicó en producción una corrección de autorización12 de octubre de 2026
DigiCert sospechó por primera vez de un acceso no autorizado a los datos archivados y abrió una investigación adicional19 y 20 de octubre de 2026
DigiCert confirmó el acceso a un subconjunto de los datos archivados y lo juzgó un suceso notificable (19 de octubre). Presentó un informe preliminar fechado el 20 de octubre (publicado en Bugzilla el 21 de octubre, hora de Japón)5 de noviembre de 2026
La prensa informó de que DigiCert había empezado a notificar a los clientes afectados7 de noviembre de 2026
Este sitio consultó el bug. Sin respuesta de DigiCert sobre el número de registros
- Sistema
- Un sistema interno de negocio usado para archivar la información que aportan los clientes, incluida la que dan los representantes de clientes para validar su identidad
- Datos de contacto
- En la mayor parte de los datos: nombres, correos electrónicos profesionales, teléfonos y direcciones profesionales
- Documentos
- En una pequeña minoría de cuentas de clientes, un documento aportado por el cliente, como un carné de conducir, un pasaporte, una factura de suministros u otro documento con nombre y dirección
- Naturaleza del acceso
- Solo lectura. El informe dice que el acceso no podía escribir registros, actuar como aprobador de validaciones ni emitir certificados, y que una revisión de registros no encontró acciones de validación, emisión ni revocación vinculadas a la cuenta
- No afectados
- Los servicios de CA (que funcionan en sus propios segmentos de red), CertCentral y DigiCert ONE, ninguno de los cuales se vio afectado. Las credenciales de acceso de los clientes y los certificados emitidos siguen seguros, según la empresa
- Causa (versión de la empresa)
- Tras la migración, el sistema era accesible desde el exterior y quedó disponible una función de registro de cuentas pensada para otros usos. Las cuentas creadas con ella no tenían autenticación multifactor y eran de solo lectura por defecto, pero podían leer el archivo
- Respuesta de la empresa
- Se bloqueó el endpoint de registro en el WAF, se publicó una corrección de autorización, se restringió el acceso al tráfico por VPN, y siguieron una prueba de penetración, nuevas alertas, restablecimiento de contraseñas de los usuarios del sistema, desactivación del autorregistro, balanceadores de carga privados y una revisión de mínimo privilegio. Dos elementos, con fecha del 6 de noviembre, seguían como en curso en el informe; la empresa dijo después que uno (las alertas) está completo
- Clientes
- El informe dice que no hace falta ninguna acción para los certificados activos. Según la prensa, DigiCert ha empezado a enviar avisos y aún revisa los documentos de identidad para determinar quién está afectado
Qué se sabe y qué no
Situación a fecha del 7 de noviembre de 2026. Cuando DigiCert publique novedades, reescribiremos esta tabla.
| Elemento | Qué dice DigiCert | Estado |
|---|---|---|
| Acceso no autorizado | Confirmado el 19 de octubre de 2026 como acceso a un subconjunto de datos archivados | Confirmado (empresa) |
| Periodo del acceso | Del 27 de junio al 2 de julio de 2026, según la investigación posterior | Confirmado (empresa) |
| Datos de contacto (nombres, correo profesional, teléfono, dirección) | La mayor parte de los datos implicados | Afectado (empresa) |
| Documentos aportados por el cliente (carné de conducir, pasaporte, factura de suministros, etc.) | Una pequeña minoría de cuentas de clientes. Según la prensa, DigiCert aún revisa quién está afectado | Afectado (empresa) |
| Escribir o cambiar registros, aprobar validaciones, emitir certificados | El acceso no podía hacerlo | No incluidos (empresa) |
| Certificados | 0 afectados. Ninguno emitido, modificado ni revocado | No incluidos (empresa) |
| Sistemas de CA, CertCentral, DigiCert ONE | Los sistemas de CA funcionan en sus propios segmentos de red; los tres no se vieron afectados | No incluidos (empresa) |
| Credenciales de acceso de los clientes | Siguen seguras | No incluidos (empresa) |
| Número de registros o personas | No se indica. Un participante ha pedido cifras | No se indica |
| Qué motivó la sospecha del 12 de octubre | No se indica. Un participante lo ha preguntado | En investigación |
| Acción pendiente (confirmar que no hay servidor de origen accesible desde el exterior) | Fecha del 6 de noviembre y figura como en curso en el informe | En investigación |
| Uso indebido (daño posterior) | No se indica | No se indica |
Por qué escribimos Afectado
DigiCert describe los tipos de datos que estaban en el archivo y a los que se accedió, pero no da cifras y dice que su revisión de documentos continúa. Seguimos su redacción y no lo convertimos en un número de personas.
Qué permiten hacer los datos de contacto y los documentos de identidad
Lo siguiente es lo que, en general, puede ocurrir con esta combinación de datos. No es algo que DigiCert diga que ocurriera en este incidente.
- Nombre + correo profesional + teléfono + dirección: muestra quién gestiona los certificados y la validación en una organización, lo bastante para dirigir un mensaje convincente a la persona adecuada
- Saber que una persona pasó por una validación: material para un mensaje falso de revalidación, reenvío de documentos o comprobación de cuenta
- Documento de identidad (carné, pasaporte, factura de suministros): puede usarse para suplantar identidades, abrir cuentas o simular verificaciones de identidad, por lo que se aplica la guía enlazada arriba
- Sin efecto en los certificados: según DigiCert, no se emitió ni cambió nada, así que en su versión no hay motivo para desconfiar de los certificados existentes por este incidente
Qué deben revisar los operadores de certificados y sistemas
DigiCert publicó la causa y sus lecciones. A continuación van esas lecciones, más puntos generales que se deducen de ellas.
- Revisión de seguridad de los cambios de red en herramientas internas: el informe de DigiCert enumera como lección que los cambios en la accesibilidad de red de los sistemas internos deben requerir siempre una revisión de seguridad. Trate también las migraciones como cambios de seguridad
- No deje que la posición en la red sustituya a la autorización: otra lección del informe. Un sistema detrás de una VPN sigue necesitando sus propias comprobaciones de acceso
- Compruebe qué valores por defecto traen las plataformas compartidas: el informe dice que la plataforma de cuentas traía una función de registro opcional. Desactive lo que un sistema no necesita
- Alerte sobre cuentas nuevas y lecturas masivas: el informe dice que después se añadieron alertas sobre la creación de cuentas y el volumen de solicitudes
- Conserve menos documentos de identidad, durante menos tiempo: los archivos de documentos aportados por clientes aumentan el coste de cualquier acceso (punto general de este sitio)
Son puntos generales de revisión y no significan que otras organizaciones no los hayan aplicado.
Fuentes (registros públicos)
Los hechos de este artículo proceden de la siguiente información pública. No especulamos sobre el número de registros no publicado ni sobre de quién son los documentos implicados.
- DigiCert, «DigiCert: Unauthorized access to business system», bug 2084460 de Mozilla Bugzilla (en inglés; informe preliminar del 21 de octubre UTC, informe completo publicado el 1 de noviembre UTC, comentarios hasta el 6 de noviembre UTC; consultado el 7 de noviembre) — bugzilla.mozilla.org
- Prensa: BleepingComputer (en inglés, 5 de noviembre de 2026), el reportaje en el que se basan las frases sobre los avisos a clientes — bleepingcomputer.com
Historial de actualizaciones
2026-11-07: Primera versión. Basada en el informe de incidente de DigiCert en Mozilla Bugzilla (consultado el 7 de noviembre; último comentario fechado el 6 de noviembre UTC).
Lectura recomendada
- Si hay un documento de identidad implicado: What to do after a driver's license data leak (en inglés)
- Un caso similar de contactos de proveedores e historial de conversaciones: la intrusión en la aplicación interna de ventas de WorkOS
- Para prepararse ante mensajes fraudulentos: ¿Qué es el phishing?
- Otros incidentes de 2026: filtraciones de datos y ciberataques (Japón y en el mundo)