適用對象：憑證管理員、資安與 IT 團隊，以及向 DigiCert 提供過身分或組織驗證資訊的人。本文依據公司自己的事件報告，不涉及攻擊手法。
進行中：本文將隨機構發布更多資訊而更新
- 適用對象
憑證管理員、資安與 IT 團隊，以及向 DigiCert 提供過身分或組織驗證資訊的人。
- 已確認的影響範圍查看表格 ↓
- 未經授權的存取
- 存取時間段
- 聯絡資料（姓名、業務電子郵件、電話、地址）
另外1項
- 客戶提供的文件（駕照、護照、水電費帳單等）
- 尚未確認的事項
- 涉及多少筆紀錄與多少人
- 涉及哪些人的身分證明文件（DigiCert 稱審查仍在進行）
- 確認不存在可從外部存取的來源伺服器這一剩餘行動項的完成情況
另外2項
- 10月12日最初是什麼讓 DigiCert 懷疑存在存取
- 資料是否被濫用（二次危害）
- 現在要做的事查看步驟 ↓
- 透過自己開啟的入口網站查證任何自稱來自 DigiCert 的訊息
- 如果您提交過身分證明文件，請留意身分遭冒用
- 不要僅因此事而重新核發憑證（DigiCert 的說明）
另外2項
- 用同樣的方式對待外洩通知
- 告知負責驗證的人員
- 查證來源（出處）全部來源 ↓
- DigiCert，「DigiCert: Unauthorized access to business system」，Mozilla Bugzilla 條目 2084460（英文；初步報告 UTC 10月21日，完整報告 UTC 11月1日發布，留言持續到 UTC 11月6日；11月7日查看）— bugzilla.mozilla.org
- 最後查證
- 截至2026年11月7日
續報計畫與查證紀錄
DigiCert 以自己的帳號在 Mozilla Bugzilla 的該條目中發布了完整的事件報告。有參與者已請其提供資料集的數量，以及10月12日起疑的原因；截至11月7日的檢查，我們沒有發現 DigiCert 對這些問題的回覆。更新應會出現在同一條目中。
DigiCert 客戶今天該做什麼
透過自己開啟的入口網站查證任何自稱來自 DigiCert 的訊息
聯絡資料以及您經歷過驗證這一事實，正是假訊息會利用的內容。這是所涉資料帶來的一般風險，並非 DigiCert 稱正在發生的事。
- 不要使用要求您重新驗證、重新寄送文件、確認帳號或更新付款資訊的訊息中的連結或附件
- 請自己開啟入口網站（透過書籤或手動輸入網址），或致電您已認識的客戶經理，確認是否有待處理的請求（本站的補充，什麼是網路釣魚？）
如果您提交過身分證明文件，請留意身分遭冒用
DigiCert 的報告稱，少數客戶帳號中包含客戶提供的文件，如駕照、護照或水電費帳單。據媒體報導，DigiCert 仍在確定誰受到影響，並將通知他們。不要等待（本站的建議）。
- 列出您或您的同事為驗證提交過哪些文件
- 留意是否有人用您的姓名與地址開立新帳號、申請信貸或與您聯繫
- 關於冒用的種類與阻止方法，參見駕照資料外洩後該怎麼做
不要僅因此事而重新核發憑證（DigiCert 的說明）
DigiCert 稱，沒有憑證被核發、修改或撤銷，其 CA 系統、CertCentral 與 DigiCert ONE 未受影響，現有有效憑證無須採取行動。請繼續進行您正常的到期與續期管理。
用同樣的方式對待外洩通知
模仿真實通知的假通知是可能出現的後續手法。如果您收到通知，請在點擊任何內容之前，先核對它是否與您自己的入口網站或已認識的客戶經理處能看到的內容一致（本站的補充）。
告知負責驗證的人員
請把此事件與上述核對告知為組織驗證登記的聯絡人，以及上傳過文件的個人。訊息可能寄給個人，而不只是管理員（本站的補充）。
1. 收到一則關於重新驗證、文件或帳號核對的訊息
即使它寫出了您的組織與聯絡人，也可能不是真的
↓
2. 不要開啟連結或附件，也不要回覆
↓
3. 在自己開啟的入口網站中，或向已認識的客戶經理核對
在此之前，不寄送任何文件，也不核准任何事項
發生了什麼（依據 DigiCert 的報告）
以下內容依據 DigiCert 在 Mozilla Bugzilla 上提交的事件報告（初步報告為10月20日，完整報告約於日本時間2026年11月2日發布）。
2025年2月4日
基礎設施遷移將該內部業務系統從受 VPN 限制的網段移到了可從外部存取的網段（DigiCert 的報告）2026年6月18日
內部審查人員發現了並非 DigiCert 的帳號，並判斷它們沒有資料存取權限。該系統被置於網頁應用程式防火牆（WAF）之後，從而阻止了從外部建立新帳號2026年6月21日至24日
一個託管的資安研究計畫回報可以從外部建立帳號（6月21日）。DigiCert 於6月24日查證2026年6月27日至7月2日
歸檔資料被存取的時間段，由後來的調查確定。授權修復於7月2日發布到正式環境2026年10月12日
DigiCert 首次懷疑歸檔資料遭到未經授權存取，並開始進一步調查2026年10月19日與20日
DigiCert 確認有一部分歸檔資料被存取，並判斷其為應通報的事件（10月19日）。公司提交了日期為10月20日的初步報告（日本時間10月21日發布到 Bugzilla）2026年11月5日
媒體報導稱 DigiCert 已開始通知受影響的客戶2026年11月7日
本站查看了該條目。DigiCert 沒有就紀錄數量作出回覆
- 系統
- 一個用於歸檔客戶所提供資訊的內部業務系統，包括客戶代表為驗證身分而提供的資訊
- 聯絡資料
- 大部分資料為：姓名、業務電子郵件、電話與業務地址
- 文件
- 在少數客戶帳號中，有客戶提供的文件，如駕照、護照、水電費帳單或其他載有姓名與地址的文件
- 存取性質
- 唯讀。報告稱，該存取無法寫入紀錄、無法充當驗證核准人、也無法核發憑證，且日誌審查沒有發現與該帳號相關的驗證操作、核發或撤銷
- 未受影響
- CA 服務（運行在各自獨立的網段上）、CertCentral 與 DigiCert ONE，均未受影響。據公司稱，客戶登入憑證與已核發的憑證仍然安全
- 原因（公司的說法）
- 遷移後，該系統可從外部存取，並且一個用於其他用途的帳號註冊功能變得可用。透過它建立的帳號沒有多重要素驗證，預設唯讀，但可以讀取歸檔
- 公司的因應
- 在 WAF 處阻斷了註冊端點，發布了授權修復，將存取限制為僅 VPN 流量，隨後進行了滲透測試、新增警示、重設該系統使用者的密碼、停用自助註冊、改用私有負載平衡器並展開最小權限審查。報告中有兩項原定於11月6日完成的事項仍列為進行中；公司後來稱其中一項（警示）已完成
- 客戶
- 報告稱現有有效憑證無須採取行動。媒體報導稱，DigiCert 已開始寄送通知，並仍在審查身分證明文件以確定誰受到影響
已知與未知
以下為截至2026年11月7日的狀態。當 DigiCert 發布更新時，我們將改寫此表。
| 項目 | DigiCert 的說法 | 狀態 |
|---|---|---|
| 未經授權的存取 | 2026年10月19日確認為對一部分歸檔資料的存取 | 已確認（公司） |
| 存取時間段 | 2026年6月27日至7月2日，來自後來的調查 | 已確認（公司） |
| 聯絡資料（姓名、業務電子郵件、電話、地址） | 涉及的大部分資料 | 受影響（公司） |
| 客戶提供的文件（駕照、護照、水電費帳單等） | 少數客戶帳號。媒體報導 DigiCert 仍在審查誰受到影響 | 受影響（公司） |
| 寫入或更改紀錄、核准驗證、核發憑證 | 該存取無法做到這些 | 不包含（公司） |
| 憑證 | 受影響的為 0 張。沒有憑證被核發、修改或撤銷 | 不包含（公司） |
| CA 系統、CertCentral、DigiCert ONE | CA 系統運行在各自獨立的網段上；三者均未受影響 | 不包含（公司） |
| 客戶登入憑證 | 仍然安全 | 不包含（公司） |
| 紀錄或人數 | 未說明。有參與者已請求提供數量 | 未說明 |
| 10月12日起疑的原因 | 未說明。有參與者已詢問 | 調查中 |
| 剩餘行動項（確認不存在可從外部存取的來源伺服器） | 原定於11月6日完成，報告中列為進行中 | 調查中 |
| 濫用（二次危害） | 未說明 | 未說明 |
為什麼寫「受影響」
DigiCert 描述了歸檔中存在且被存取的資料種類，但沒有給出數量，並稱其文件審查仍在繼續。我們遵循其措辭，不將其轉換成人數。
聯絡資料與身分證明文件可能帶來什麼
以下是這種資料組合一般可能發生的情況。這並不是 DigiCert 稱此事件中發生了的事。
- 姓名 + 業務電子郵件 + 電話 + 地址：顯示誰在組織中負責憑證與驗證，足以把逼真的訊息寄給對的人
- 知道某人經歷過驗證：可用於編造假的重新驗證、重新提交文件或帳號核對訊息
- 身分證明文件（駕照、護照、水電費帳單）：可用於冒充、開立帳號或假的身分核驗，這就是上面連結的指南適用的原因
- 不影響憑證：據 DigiCert 稱，沒有任何內容被核發或更改，因此依其說明，沒有理由因此事件而不信任現有憑證
憑證與系統營運方應複查什麼
DigiCert 公布了原因與教訓。下面是這些內容，以及由此得出的一般要點。
- 對內部工具的網路變更進行安全審查：DigiCert 的報告把「對內部系統的網路可達性變更應始終要求安全審查」列為教訓。請把遷移也當作安全變更
- 不要用網路位置代替授權：報告中的另一條教訓。位於 VPN 之後的系統仍需要自己的存取檢查
- 檢查共用平台預設附帶什麼：報告稱，帳號平台自帶一個可選的註冊功能。關閉系統不需要的功能
- 對新帳號與批量讀取發出警示：報告稱，針對帳號建立與請求量的警示是事後新增的
- 少保存身分證明文件，保存更短時間：客戶提供文件的歸檔會提高任何一次存取的代價（本站的一般觀點）
這些是一般的複查要點，並不意味著其他組織沒有做到這些。
資料來源（公開紀錄）
本文的事實來自下列公開資訊。對於未公布的紀錄數量，或涉及哪些人的文件，我們不做臆測。
- DigiCert，「DigiCert: Unauthorized access to business system」，Mozilla Bugzilla 條目 2084460（英文；初步報告 UTC 10月21日，完整報告 UTC 11月1日發布，留言持續到 UTC 11月6日；11月7日查看）— bugzilla.mozilla.org
- 媒體：BleepingComputer（英文，2026年11月5日），關於客戶通知的句子所依據的報導 — bleepingcomputer.com
更新紀錄
2026-11-07：首版。依據 DigiCert 在 Mozilla Bugzilla 上的事件報告（11月7日查看；最新留言日期為 UTC 11月6日）。
延伸閱讀
- 如果涉及身分證明文件：駕照資料外洩後該怎麼做
- 涉及供應商聯絡人與對話紀錄的類似案例：WorkOS 內部銷售應用程式遭未經授權存取
- 為因應詐騙訊息做準備：什麼是網路釣魚？
- 2026 年其他事件：資料外洩與網路攻擊（日本與海外）