対象：DigiCertで証明書を管理する管理者、セキュリティ・情報システムの担当者、同社に本人確認や組織の確認のための情報を渡した人。本記事は同社自身の事故報告にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
DigiCertで証明書を管理する管理者、セキュリティ・情報システムの担当者、同社に本人確認や組織の確認のための情報を渡した人。
- 影響が確認された範囲表で見る ↓
- 不正アクセス
- アクセスの期間
- 連絡先（氏名、事業用メール、電話、住所）
さらに1件
- 顧客提供の書類（免許証、パスポート、公共料金の請求書など）
- 未確認事項
- 対象になった件数と人数
- 書類が含まれる人の特定（同社は確認中）
- 外部から届くオリジンサーバーがないことの確認（残りの対策項目）の完了
さらに2件
- 10月12日に不正アクセスを疑ったきっかけ
- 不正利用（二次被害）の有無
- 今やること手順を見る ↓
- 同社を名乗る連絡は、自分で開いたポータルで確かめてから応じる
- 本人確認書類を出していたら、身元の悪用に注意する
- この件だけを理由に証明書を再発行しない（同社の説明）
さらに2件
- 漏えいの通知も同じように確かめる
- 本人確認を扱う担当者に共有する
- 確認先（出典）出典の一覧 ↓
- DigiCert「DigiCert: Unauthorized access to business system」Mozilla Bugzilla 報告2084460（英語。予備報告はUTC 10月21日、全文はUTC 11月1日、コメントはUTC 11月6日まで。11月7日に確認）
- 最終確認日時
- 2026年11月7日時点
発表の続報予定と確認の記録
同社はMozilla Bugzillaの報告に事故報告の全文を投稿しています。参加者から、対象データの数と10月12日に疑ったきっかけを尋ねる質問が出ていますが、11月7日の確認時点で同社の回答は見当たりませんでした。更新があれば同じ報告に載ります。
DigiCertの顧客が今日やること
同社を名乗る連絡は、自分で開いたポータルで確かめてから応じる
連絡先と、本人確認を受けたという事実は、偽の連絡が使う材料そのものです。これは対象データから一般に起きうることで、同社が出回っていると公表したものではありません。
- 再検証、書類の再提出、アカウントの確認、支払い情報の更新を求める連絡のリンクや添付は使わない
- ブックマークや自分で入力したアドレスでポータルを開くか、知っている担当者に連絡して、対応待ちの依頼があるか確かめる（当サイトの補足、フィッシングとは）
本人確認書類を出していたら、身元の悪用に注意する
同社の報告は、ごく一部のアカウントに、運転免許証、パスポート、公共料金の請求書など、顧客が提供した書類が含まれていたとしています。報道によると、同社は対象者を特定している途中で、確認が終わりしだい通知します。待たずに動くのが安全側です（当サイトの勧め）。
- 自分や同僚が本人確認で提出した書類を洗い出す
- 自分の名前と住所を使った新規の口座・カードの申込や連絡に注意する
- 悪用の種類と止め方は運転免許証の流出で何をすべきか
この件だけを理由に証明書を再発行しない（同社の説明）
同社は、証明書の発行・変更・失効はなく、認証局のシステム、CertCentral、DigiCert ONEは影響を受けておらず、有効な証明書について顧客の対応は不要としています。通常の有効期限と更新の管理は、そのまま続けます。
漏えいの通知も同じように確かめる
本物の通知をまねた偽の通知は、起きやすい二次被害です。通知が届いたら、リンクを開く前に、自分のポータルや知っている担当者の画面で内容が合うか確かめます（当サイトの補足）。
本人確認を扱う担当者に共有する
組織の確認のために登録した連絡先の人と、書類を提出した本人に、この件と上の確認手順を知らせます。連絡は管理者だけでなく、本人に届くこともあります（当サイトの補足）。
① 再検証・書類の再提出・アカウント確認の連絡が来る
組織名や担当者名を知っていても、本物とは限らない
↓
② リンクや添付を開かず、返信もしない
↓
③ 自分で開いたポータル、知っている担当者で確かめる
確かめるまで、書類も承認も渡さない
何が起きたのか（DigiCertの報告より）
以下は、同社がMozilla Bugzillaに出した事故報告（予備報告は10月20日、全文は日本時間11月2日ごろの投稿）にもとづきます。
2025年2月4日
インフラ移行で、社内の業務システムがVPNに限られたネットワークから、外部から届く場所に移った（同社の報告）2026年6月18日
社内の担当者が、同社のものではないアカウントに気づき、データへのアクセスはないと判断。システムをWAFの内側に置き、外部からの新規アカウント作成を止めた2026年6月21日〜24日
管理されたセキュリティ調査の仕組みから、外部からアカウントを作れるとの報告（21日）。同社が確認（24日）2026年6月27日〜7月2日
その後の調査で確認された、保管データへのアクセスの期間。7月2日に認可の修正を本番に反映した2026年10月12日
同社が、保管データへの不正アクセスの可能性を初めて疑い、追加の調査を始めた2026年10月19日・20日
保管データの一部へのアクセスを確認し、報告対象の事案と判断（19日）。予備報告を10月20日付で提出（Bugzillaへの投稿は日本時間10月21日）2026年11月5日
報道によると、同社が影響を受けた顧客への通知を始めた2026年11月7日
当サイトが報告を確認。件数についての同社の回答は見当たらず
- 対象のシステム
- 顧客が提供した情報を保管する社内の業務システム。顧客の担当者が本人確認のために渡した情報を含む
- 連絡先
- データの大半は、氏名、事業用メールアドレス、電話番号、事業用の住所
- 書類
- ごく一部の顧客のアカウントに、運転免許証、パスポート、公共料金の請求書など、氏名と住所の載った顧客提供の書類
- アクセスの性質
- 読み取りのみ。同社は、記録の書き込み、検証の承認、証明書の発行はできなかったとし、ログの確認でも、そのアカウントに結びつく検証・発行・失効の操作はなかったとする
- 含まれないもの
- 認証局のシステム（別のネットワークに置かれている）、CertCentral、DigiCert ONE（いずれも影響なし）。顧客のログイン情報と発行済みの証明書は安全とする（同社）
- 原因（同社の説明）
- 移行後、システムが外部から届く状態になり、別の用途のためのアカウント登録の機能が使える状態になった。それで作られたアカウントは多要素認証がなく、既定では読み取り専用だったが、保管データを読めた
- 同社の対応
- WAFでの登録の遮断、認可の修正、VPNに限る設定、侵入テスト、新しいアラート、システム利用者のパスワードのリセット、自己登録の停止、非公開のロードバランサーへの移行、最小権限の見直し。11月6日期限の2項目は報告時点で継続中とされ、のちに1項目（アカウント作成などのアラート）の完了が投稿された
- 顧客への案内
- 報告は、有効な証明書について対応は不要とする。報道によると、同社は通知を送り始めており、書類の対象者は確認中
分かっていること・分かっていないこと
2026年11月7日時点の状態です。同社の更新が出たら、この表を書き換えます。
| 項目 | 同社の説明 | 状態 |
|---|---|---|
| 不正アクセス | 2026年10月19日に、保管データの一部へのアクセスを確認 | 確定（同社） |
| アクセスの期間 | 2026年6月27日から7月2日（その後の調査） | 確定（同社） |
| 連絡先（氏名、事業用メール、電話、住所） | データの大半 | 影響対象（同社） |
| 顧客提供の書類（免許証、パスポート、公共料金の請求書など） | ごく一部の顧客のアカウント。報道では、同社が対象者を確認中 | 影響対象（同社） |
| 記録の書き込み、検証の承認、証明書の発行 | できなかった | 含まれない（同社） |
| 証明書 | 影響0件。発行・変更・失効なし | 含まれない（同社） |
| 認証局のシステム、CertCentral、DigiCert ONE | 認証局のシステムは別のネットワークに置かれ、3つとも影響なし | 含まれない（同社） |
| 顧客のログイン情報 | 安全とする | 含まれない（同社） |
| 対象の件数・人数 | 記載なし。参加者が数を尋ねている | 記載なし |
| 10月12日に疑ったきっかけ | 記載なし。参加者が尋ねている | 調査中 |
| 残りの対策項目（外部から届くオリジンサーバーがないことの確認） | 11月6日期限で、報告では継続中 | 調査中 |
| 不正利用（二次被害） | 記載なし | 記載なし |
「影響対象」と書く理由
同社は、保管されていてアクセスされたデータの種類を挙げていますが、件数は示さず、書類の確認は続いているとしています。当サイトは同社の言葉どおりに書き、人数への読み替えはしません。
連絡先と本人確認書類で何が起きうるか
以下は、この項目の組み合わせから一般に起きうることで、本件で起きたと同社が公表しているものではありません。
- 氏名＋事業用メール＋電話＋住所：誰が証明書や本人確認を担当しているかが分かり、本物らしい宛名の連絡を作れる
- 本人確認を受けたという事実：再検証、書類の再提出、アカウント確認を装う連絡の材料になる
- 身分証の書類（免許証、パスポート、公共料金の請求書）：なりすまし、口座の開設、偽の本人確認に使われうる。上のリンクの解説が当てはまる
- 証明書への影響なし：同社の説明では発行も変更もないため、この件だけを理由に既存の証明書を疑う根拠は、同社の説明の中にはない
証明書・システムの運営者が見直すこと
同社は原因と教訓を公表しています。以下はそれと、そこから言える一般的な点です。
- 社内ツールのネットワーク変更に安全面の確認を入れる：同社の報告は、教訓として、社内システムの到達性を変える変更には常に安全面の確認が必要としている。移行も安全上の変更として扱う
- ネットワーク上の位置を認可の代わりにしない：同じく報告にある教訓。VPNの内側でも、システム自身のアクセス確認が要る
- 共通の基盤が持つ既定の機能を確かめる：報告によると、アカウント基盤の任意の登録機能がそのまま使える状態だった。使わない機能は止める
- アカウント作成と大量の読み出しにアラートを付ける：報告によると、アカウント作成とリクエスト量のアラートは、事後に追加された
- 本人確認書類は少なく、短く持つ：顧客から預かった書類の保管は、万一のときの影響を大きくする（当サイトの一般的な点）
これらは一般的な見直しの点で、他の組織が行っていなかったという意味ではありません。
出典（公開記録）
本記事の事実関係は、以下の公開情報にもとづきます。公表されていない件数や、書類が含まれる人は推測していません。
- DigiCert「DigiCert: Unauthorized access to business system」Mozilla Bugzilla 報告2084460（英語。予備報告はUTC 10月21日、全文はUTC 11月1日、コメントはUTC 11月6日まで。11月7日に確認） — bugzilla.mozilla.org
- 報道：BleepingComputer（英語、2026年11月5日付）。顧客への通知についての文の出典 — bleepingcomputer.com
更新履歴
2026-11-07：初版。Mozilla Bugzillaの同社の事故報告にもとづく（11月7日に確認、最新のコメントはUTC 11月6日付）。
次に読む
- 本人確認書類が含まれる場合：運転免許証の流出で何をすべきか
- 取引先の連絡先とやり取りが対象になった同種の事案：WorkOSの社内営業用アプリへの不正アクセス
- 詐欺メッセージへの備え：フィッシングとは
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）