Para: administradores de certificados, equipes de segurança e de TI, e pessoas que forneceram à DigiCert informações de identidade ou de validação de organização. Este artigo se baseia no relatório de incidente da própria empresa e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
- Quem é afetado
administradores de certificados, equipes de segurança e de TI, e pessoas que forneceram à DigiCert informações de identidade ou de validação de organização.
- Confirmado até agoraVer a tabela ↓
- Acesso não autorizado
- Período do acesso
- Dados de contato (nomes, e-mail profissional, telefone, endereço)
Mais 1
- Documentos fornecidos pelo cliente (carteira de motorista, passaporte, conta de serviços etc.)
- Ainda não confirmado
- Quantos registros e pessoas foram afetados
- Os documentos de identidade de quais pessoas estão envolvidos (a DigiCert diz que a revisão continua)
- Conclusão do item pendente de confirmar que não há servidor de origem acessível de fora
Mais 2
- O que levou a DigiCert a suspeitar do acesso em 12 de outubro
- Se os dados foram usados indevidamente (dano posterior)
- O que fazer agoraVer os passos ↓
- Verifique qualquer mensagem que diga ser da DigiCert por um portal que você mesmo abriu
- Se você enviou documentos de identidade, fique atento a uso indevido
- Não reemita certificados só por causa disto (declaração da DigiCert)
Mais 2
- Trate da mesma forma um aviso de violação
- Informe quem cuida da validação
- Onde verificar (fonte)Todas as fontes ↓
- DigiCert, "DigiCert: Unauthorized access to business system", bug 2084460 do Mozilla Bugzilla (em inglês; relatório preliminar de 21 de outubro UTC, relatório completo publicado em 1º de novembro UTC, comentários até 6 de novembro UTC; consultado em 7 de novembro)
- Última verificação
- Em 7 de novembro de 2026
Próximos avisos e o que verificamos
A DigiCert publicou um relatório completo do incidente no bug do Mozilla Bugzilla, em sua própria conta. Um participante pediu números sobre o conjunto de dados e o que motivou a suspeita de 12 de outubro; na checagem de 7 de novembro não encontramos resposta da DigiCert a essas perguntas. Atualizações apareceriam no mesmo bug.
O que os clientes da DigiCert devem fazer hoje
Verifique qualquer mensagem que diga ser da DigiCert por um portal que você mesmo abriu
Os dados de contato e o fato de você ter passado por uma validação são exatamente o que uma mensagem falsa usaria. É um risco geral dos dados envolvidos, não algo que a DigiCert diga estar acontecendo.
- Não use links nem anexos de uma mensagem que peça para revalidar, reenviar documentos, confirmar uma conta ou atualizar dados de pagamento
- Abra o portal por conta própria (por um favorito ou digitando o endereço) ou ligue para o representante de conta que você conhece e confira se há alguma solicitação pendente (acréscimo deste site, O que é phishing?)
Se você enviou documentos de identidade, fique atento a uso indevido
O relatório da DigiCert diz que uma pequena minoria de contas de clientes incluía um documento fornecido pelo cliente, como carteira de motorista, passaporte ou conta de serviços. Segundo a imprensa, a DigiCert ainda apura quem foi afetado e avisará essas pessoas. Não espere (orientação deste site).
- Liste quais documentos você ou seus colegas enviaram para a validação
- Observe novas contas, pedidos de crédito e contatos que usem seu nome e endereço
- Veja What to do after a driver's license data leak (em inglês) para os tipos de uso indevido e como contê-los
Não reemita certificados só por causa disto (declaração da DigiCert)
A DigiCert diz que nenhum certificado foi emitido, modificado ou revogado, que seus sistemas de CA, o CertCentral e o DigiCert ONE não foram afetados e que nenhuma ação é necessária para certificados ativos. Mantenha sua gestão normal de vencimento e renovação.
Trate da mesma forma um aviso de violação
Um aviso falso que imite o verdadeiro é um desdobramento provável. Se receber um aviso, confira se ele corresponde ao que você vê no seu próprio portal ou com seu representante conhecido antes de clicar em qualquer coisa (acréscimo deste site).
Informe quem cuida da validação
Conte sobre este incidente e sobre a verificação acima aos contatos cadastrados para a validação da organização e às pessoas que enviaram documentos. As mensagens podem ir para a pessoa, e não só para o administrador (acréscimo deste site).
1. Chega uma mensagem sobre revalidação, documentos ou verificação de conta
Mesmo que cite sua organização e seu contato, pode não ser verdadeira
↓
2. Não abra links nem anexos e não responda
↓
3. Confira no portal que você mesmo abriu ou com seu representante conhecido
Até lá, não envie documentos nem aprove nada
O que aconteceu (segundo o relatório da DigiCert)
O texto a seguir se baseia no relatório de incidente que a DigiCert apresentou no Mozilla Bugzilla (relatório preliminar de 20 de outubro, relatório completo publicado por volta de 2 de novembro de 2026, horário do Japão).
4 de fevereiro de 2025
Uma migração de infraestrutura moveu o sistema interno de negócios de um segmento de rede restrito por VPN para um acessível de fora (relatório da DigiCert)18 de junho de 2026
Um revisor interno viu contas que não eram da DigiCert e julgou que não tinham acesso a dados. O sistema foi colocado atrás de um firewall de aplicações web (WAF), que bloqueou a criação de novas contas de fora21 a 24 de junho de 2026
Um programa gerenciado de pesquisa de segurança informou que contas podiam ser criadas de fora (21 de junho). A DigiCert verificou (24 de junho)27 de junho a 2 de julho de 2026
Período em que os dados arquivados foram acessados, conforme apurado pela investigação posterior. Uma correção de autorização foi publicada em produção em 2 de julho12 de outubro de 2026
A DigiCert suspeitou pela primeira vez de acesso não autorizado aos dados arquivados e iniciou uma investigação adicional19 e 20 de outubro de 2026
A DigiCert confirmou o acesso a um subconjunto dos dados arquivados e o julgou um evento reportável (19 de outubro). Apresentou um relatório preliminar datado de 20 de outubro (publicado no Bugzilla em 21 de outubro, horário do Japão)5 de novembro de 2026
A imprensa informou que a DigiCert havia começado a notificar os clientes afetados7 de novembro de 2026
Este site conferiu o bug. Nenhuma resposta da DigiCert sobre o número de registros
- Sistema
- Um sistema interno de negócios usado para arquivar informações fornecidas pelos clientes, incluindo as que os representantes de clientes dão para validar sua identidade
- Dados de contato
- Na maior parte dos dados: nomes, e-mails profissionais, telefones e endereços profissionais
- Documentos
- Em uma pequena minoria de contas de clientes, um documento fornecido pelo cliente, como carteira de motorista, passaporte, conta de serviços ou outro documento com nome e endereço
- Natureza do acesso
- Somente leitura. O relatório diz que o acesso não podia gravar registros, atuar como aprovador de validações nem emitir certificados, e que uma revisão de logs não encontrou ações de validação, emissão ou revogação ligadas à conta
- Não afetados
- Os serviços de CA (que rodam em segmentos de rede próprios), o CertCentral e o DigiCert ONE, nenhum dos quais foi afetado. As credenciais de login dos clientes e os certificados emitidos continuam seguros, segundo a empresa
- Causa (versão da empresa)
- Após a migração, o sistema ficou acessível de fora e uma função de cadastro de contas feita para outros usos ficou disponível. As contas criadas por ela não tinham autenticação multifator e eram somente leitura por padrão, mas podiam ler o arquivo
- Resposta da empresa
- O endpoint de cadastro foi bloqueado no WAF, uma correção de autorização foi publicada, o acesso foi restrito ao tráfego por VPN, e seguiram-se um teste de intrusão, novos alertas, redefinição de senhas dos usuários do sistema, desativação do autocadastro, balanceadores de carga privados e uma revisão de privilégio mínimo. Dois itens, com prazo em 6 de novembro, ainda constavam como em andamento no relatório; a empresa disse depois que um deles (alertas) está concluído
- Clientes
- O relatório diz que nenhuma ação é necessária para certificados ativos. Segundo a imprensa, a DigiCert começou a enviar avisos e ainda revisa documentos de identidade para apurar quem foi afetado
O que se sabe e o que não se sabe
Situação em 7 de novembro de 2026. Quando a DigiCert publicar atualizações, reescreveremos esta tabela.
| Item | O que a DigiCert diz | Situação |
|---|---|---|
| Acesso não autorizado | Confirmado em 19 de outubro de 2026 como acesso a um subconjunto de dados arquivados | Confirmado (empresa) |
| Período do acesso | De 27 de junho a 2 de julho de 2026, conforme a investigação posterior | Confirmado (empresa) |
| Dados de contato (nomes, e-mail profissional, telefone, endereço) | A maior parte dos dados envolvidos | Afetado (empresa) |
| Documentos fornecidos pelo cliente (carteira de motorista, passaporte, conta de serviços etc.) | Uma pequena minoria de contas de clientes. Segundo a imprensa, a DigiCert ainda apura quem foi afetado | Afetado (empresa) |
| Gravar ou alterar registros, aprovar validações, emitir certificados | O acesso não podia fazer isso | Não incluídos (empresa) |
| Certificados | 0 afetados. Nenhum emitido, modificado ou revogado | Não incluídos (empresa) |
| Sistemas de CA, CertCentral, DigiCert ONE | Os sistemas de CA rodam em segmentos de rede próprios; os três não foram afetados | Não incluídos (empresa) |
| Credenciais de login dos clientes | Continuam seguras | Não incluídos (empresa) |
| Número de registros ou pessoas | Não informado. Um participante pediu números | Não informado |
| O que motivou a suspeita de 12 de outubro | Não informado. Um participante perguntou | Em investigação |
| Item pendente (confirmar que não há servidor de origem acessível de fora) | Prazo em 6 de novembro e consta como em andamento no relatório | Em investigação |
| Uso indevido (dano posterior) | Não informado | Não informado |
Por que escrevemos Afetado
A DigiCert descreve os tipos de dados que estavam no arquivo e foram acessados, mas não dá números e diz que a revisão de documentos continua. Seguimos a redação dela e não a transformamos em um número de pessoas.
O que dados de contato e documentos de identidade possibilitam
O texto a seguir descreve o que, em geral, pode acontecer com esta combinação de dados. Não é algo que a DigiCert diga ter ocorrido neste incidente.
- Nome + e-mail profissional + telefone + endereço: mostra quem cuida de certificados e validação em uma organização, o bastante para endereçar uma mensagem convincente à pessoa certa
- Saber que uma pessoa passou por uma validação: material para uma mensagem falsa de revalidação, reenvio de documentos ou verificação de conta
- Documento de identidade (carteira, passaporte, conta de serviços): pode ser usado para se passar pela pessoa, abrir contas ou simular verificações de identidade, por isso vale o guia indicado acima
- Sem efeito sobre certificados: segundo a DigiCert, nada foi emitido ou alterado, então, na versão dela, não há motivo para desconfiar dos certificados existentes por causa deste incidente
O que operadores de certificados e sistemas devem revisar
A DigiCert publicou a causa e as lições. Abaixo estão essas lições, mais pontos gerais que decorrem delas.
- Revisão de segurança para mudanças de rede em ferramentas internas: o relatório da DigiCert lista como lição que mudanças na acessibilidade de rede de sistemas internos devem sempre exigir revisão de segurança. Trate migrações também como mudanças de segurança
- Não deixe a posição na rede substituir a autorização: outra lição do relatório. Um sistema atrás de VPN ainda precisa de suas próprias verificações de acesso
- Confira quais padrões vêm com plataformas compartilhadas: o relatório diz que a plataforma de contas trazia uma função de cadastro opcional. Desative o que o sistema não precisa
- Alerte sobre novas contas e leituras em massa: o relatório diz que alertas sobre criação de contas e volume de requisições foram adicionados depois
- Guarde menos documentos de identidade, por menos tempo: arquivos de documentos fornecidos por clientes aumentam o custo de qualquer acesso (ponto geral deste site)
São pontos gerais de revisão e não significam que outras organizações deixaram de aplicá-los.
Fontes (registros públicos)
Os fatos deste artigo vêm das informações públicas abaixo. Não especulamos sobre o número de registros não divulgado nem sobre de quem são os documentos envolvidos.
- DigiCert, "DigiCert: Unauthorized access to business system", bug 2084460 do Mozilla Bugzilla (em inglês; relatório preliminar de 21 de outubro UTC, relatório completo publicado em 1º de novembro UTC, comentários até 6 de novembro UTC; consultado em 7 de novembro) — bugzilla.mozilla.org
- Imprensa: BleepingComputer (em inglês, 5 de novembro de 2026), a reportagem em que se baseiam as frases sobre os avisos aos clientes — bleepingcomputer.com
Histórico de atualizações
2026-11-07: Primeira versão. Com base no relatório de incidente da DigiCert no Mozilla Bugzilla (consultado em 7 de novembro; último comentário datado de 6 de novembro UTC).
Leia a seguir
- Se um documento de identidade estiver envolvido: What to do after a driver's license data leak (em inglês)
- Um caso parecido de contatos de fornecedores e histórico de conversas: a invasão do aplicativo interno de vendas da WorkOS
- Preparando-se para mensagens fraudulentas: O que é phishing?
- Outros incidentes de 2026: vazamentos de dados e ciberataques (Japão e no mundo)